互連數(shù)據(jù)總線中的安全節(jié)點(diǎn)的制作方法
【專利說明】互連數(shù)據(jù)總線中的安全節(jié)點(diǎn)
[0001]優(yōu)先權(quán)數(shù)據(jù)
[0002]本專利申請(qǐng)受益于或要求提交于2014年6月10日的美國(guó)臨時(shí)申請(qǐng)?zhí)?2/010，014，題為“互連數(shù)據(jù)總線中的安全節(jié)點(diǎn)”(代理人案號(hào)26256。0245-P)的優(yōu)先權(quán)，在此通過引用將其全部?jī)?nèi)容引入。
技術(shù)領(lǐng)域
[0003]本公開一般涉及互連數(shù)據(jù)總線，并且更具體地，涉及用于這些互連數(shù)據(jù)總線的安全節(jié)點(diǎn)。
【背景技術(shù)】
[0004]在過去幾十年中，越來越多的系統(tǒng)越來越依賴于電子設(shè)備提供安全關(guān)鍵功能，如控制。這些電子裝置被用在各種安全關(guān)鍵系統(tǒng)，例如能源系統(tǒng)、航空航天系統(tǒng)和汽車系統(tǒng)。多年來電子裝置被用在飛機(jī)上以控制飛機(jī)，并確保各個(gè)組件可操作。此外，電子裝置被用在許多現(xiàn)代公路車輛用于共同的功能，例如定速控制、防抱制動(dòng)系統(tǒng)、安全氣囊，甚至在今天的道路上更多的電子產(chǎn)品被用于混合動(dòng)力汽車和電動(dòng)汽車。

【發(fā)明內(nèi)容】

[0005]在安全關(guān)鍵計(jì)算機(jī)系統(tǒng)，容錯(cuò)性是一個(gè)重要的設(shè)計(jì)要求。在這些基于處理器的系統(tǒng)的用于片上互連的數(shù)據(jù)總線暴露于由互連本身或任何一個(gè)連接的外圍設(shè)備引起的故障造成的危險(xiǎn)。為提供足夠的容錯(cuò)能力，安全節(jié)點(diǎn)插入片上總線層次結(jié)構(gòu)或網(wǎng)絡(luò)的上游主段和下游從段之間。
[0006]安全節(jié)點(diǎn)提供(可編程)超時(shí)監(jiān)測(cè)，用于為事務(wù)檢測(cè)超時(shí)條件。如果已經(jīng)發(fā)生超時(shí)，安全節(jié)點(diǎn)傳送或觸發(fā)預(yù)先設(shè)置的虛擬響應(yīng)返回給主段，這將釋放上游主段，以避免死鎖和執(zhí)行后續(xù)事務(wù)。安全節(jié)點(diǎn)，然后承擔(dān)下游段的主機(jī)的角色，并等待從機(jī)響應(yīng)。此外，安全節(jié)點(diǎn)拒絕接受上游段的任何主段的任何后續(xù)請(qǐng)求通過傳送或觸發(fā)這些立即的虛擬響應(yīng)對(duì)這些后續(xù)請(qǐng)求，從而使能這些主段以避免死鎖或停止。
[0007]預(yù)先設(shè)置的響應(yīng)可以包括以下的一種或兩種(a)總線協(xié)議帶內(nèi)響應(yīng)信令，和/或(b)總線協(xié)議外邊帶響應(yīng)，如中斷。在協(xié)議內(nèi)響應(yīng)可包括合法從響應(yīng)，它允許主機(jī)在主協(xié)議內(nèi)合法完成當(dāng)前事務(wù)，并且可以是任何一種:錯(cuò)誤響應(yīng)，表示該事務(wù)不成功；局部完成響應(yīng)，表示該事務(wù)部分完成而且可能已經(jīng)被分為完整的部分和不完整的部分；或正常完成響應(yīng)。如果發(fā)出正常完成的帶內(nèi)響應(yīng)，帶內(nèi)響應(yīng)可以伴隨邊帶響應(yīng)(錯(cuò)誤中斷)，使得主機(jī)被通知超時(shí)。
【附圖說明】
[0008]圖1是根據(jù)本公開的一些實(shí)施例的簡(jiǎn)化的示意圖，示出示例性的具有安全節(jié)點(diǎn)的基于處理器的系統(tǒng)；
[0009]圖2是根據(jù)本公開的一些實(shí)施例的簡(jiǎn)化的示意圖，示出示例性的具有兩個(gè)安全節(jié)點(diǎn)的基于處理器的系統(tǒng)；
[0010]圖3是根據(jù)本公開的一些實(shí)施例的簡(jiǎn)化的示意圖，示出示例性的具有安全節(jié)點(diǎn)的互連總線層次結(jié)構(gòu)或網(wǎng)絡(luò)；
[0011]圖4是根據(jù)本公開的一些實(shí)施例的簡(jiǎn)化示意圖，示出另一示例性的具有多個(gè)安全節(jié)點(diǎn)的互連總線層次結(jié)構(gòu)或網(wǎng)絡(luò)；
[0012]圖5是根據(jù)本公開的一些實(shí)施例的簡(jiǎn)化流程圖，示出流程用于通過安全節(jié)點(diǎn)監(jiān)測(cè)和存活互連數(shù)據(jù)總線上的超時(shí)；
[0013]圖6根據(jù)本公開的一些實(shí)施例示出了示例性的安全節(jié)點(diǎn)的控制寄存器；
[0014]圖7根據(jù)本公開的一些實(shí)施例示出了示例性的安全節(jié)點(diǎn)的狀態(tài)寄存器；和
[0015]圖8根據(jù)本公開的一些實(shí)施例示出了示例性的安全節(jié)點(diǎn)的超時(shí)計(jì)數(shù)器寄存器。
【具體實(shí)施方式】
[0016]了解容錯(cuò)
[0017]計(jì)算機(jī)系統(tǒng)中的組件和程序，雖然在大部分時(shí)間它們是可靠和可操作的，但不可避免地在一個(gè)或另一點(diǎn)失靈。失靈可能是由硬件問題或軟件錯(cuò)誤造成的。容錯(cuò)是使計(jì)算機(jī)系統(tǒng)繼續(xù)在系統(tǒng)中的一個(gè)或多個(gè)故障的情況下正常運(yùn)行的屬性。如果沒有容錯(cuò)能力，故障可能會(huì)導(dǎo)致徹底崩潰，這可能導(dǎo)致安全關(guān)鍵系統(tǒng)帶來災(zāi)難性的后果。通常情況下，計(jì)算機(jī)系統(tǒng)設(shè)計(jì)者和架構(gòu)師嘗試設(shè)計(jì)計(jì)算機(jī)系統(tǒng)，在一個(gè)或多個(gè)故障的情況下，可以在降低的容量繼續(xù)操作和/或可以完全降低，使得可以采取恢復(fù)操作。
[0018]許多這些安全關(guān)鍵計(jì)算機(jī)系統(tǒng)結(jié)合處理器和外圍設(shè)備提供安全關(guān)鍵功能，如功率和引擎控制。為各行業(yè)提供規(guī)則和指導(dǎo)如何設(shè)計(jì)安全設(shè)備和系統(tǒng)，國(guó)際標(biāo)準(zhǔn)化機(jī)構(gòu)已經(jīng)制定了標(biāo)準(zhǔn)，例如，IEC 61508，題為“電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全”和ISO 26262，題為“道路車輛-功能安全”。這些標(biāo)準(zhǔn)定義了在電子產(chǎn)品提供了安全關(guān)鍵作用的各種應(yīng)用的安全關(guān)鍵系統(tǒng)的風(fēng)險(xiǎn)和電子要求規(guī)范行為。由于這些電子產(chǎn)品對(duì)人類和環(huán)境安全是非常重要并且電子產(chǎn)品必然會(huì)有故障，容錯(cuò)是這些標(biāo)準(zhǔn)提出的一個(gè)特別重要的設(shè)計(jì)要求。出于這個(gè)原因，這些國(guó)際標(biāo)準(zhǔn)提供規(guī)范和指導(dǎo)，指示安全關(guān)鍵系統(tǒng)應(yīng)該如何工作，當(dāng)系統(tǒng)有一個(gè)或多個(gè)故障的情況下或該系統(tǒng)應(yīng)如何繼續(xù)正常運(yùn)行當(dāng)系統(tǒng)有一個(gè)或多個(gè)故障時(shí)。
[0019]雖然系統(tǒng)設(shè)計(jì)師和架構(gòu)師努力滿足容錯(cuò)設(shè)計(jì)要求，為設(shè)計(jì)師和架構(gòu)師提供不過于昂貴實(shí)現(xiàn)的解決方案是重要的。
[0020]互連數(shù)據(jù)總線故障
[0021]在安全關(guān)鍵系統(tǒng)，在基于處理器的系統(tǒng)內(nèi)，用于片上互連的工業(yè)標(biāo)準(zhǔn)和專有數(shù)據(jù)總線暴露由互連本身或任何連接的外圍設(shè)備產(chǎn)生的故障所引起的危險(xiǎn)。安全關(guān)鍵系統(tǒng)想解決的危險(xiǎn)包括:互連中的開路和短路、硬件外圍從機(jī)的故障、死鎖、總線段的交通匱乏或飽和或者較高的通信層編程或協(xié)議錯(cuò)誤。這些危險(xiǎn)會(huì)導(dǎo)致超時(shí)錯(cuò)誤，即，缺乏預(yù)期的響應(yīng)，或延遲預(yù)期響應(yīng)。
[0022]這些行業(yè)標(biāo)準(zhǔn)和專用總線包括遵循用于片上系統(tǒng)(SoC)的功能模塊的連接和管理的開放式標(biāo)準(zhǔn)、片上互連的高級(jí)微控制器總線架構(gòu)(AMBA)規(guī)范的總線。通常情況下，這樣的總線，如廣泛使用的高級(jí)外圍設(shè)備總線(APB)、AMBA高性能總線(AHB、高級(jí)可擴(kuò)展接口(AXI)，并沒有在過于昂貴的合法IP上明確的超時(shí)機(jī)制起重要作用并且改進(jìn)超時(shí)。沒有適當(dāng)?shù)某瑫r(shí)監(jiān)測(cè)，系統(tǒng)可以容易地停轉(zhuǎn)和崩潰，沒有任何方法從超時(shí)恢復(fù)。
[0023]當(dāng)提供容錯(cuò)總線設(shè)計(jì)以容忍超時(shí)故障，它也是重要的讓互連數(shù)據(jù)總線繼續(xù)遵從其它特性如原子性、一致性、隔離性和持久性(ACID)以保證即使存在超時(shí)故障，事務(wù)正在可靠地被處理。
[0024]硬件安全節(jié)點(diǎn):處理超時(shí)和延遲響應(yīng)
[0025]為了解決安全關(guān)鍵互連數(shù)據(jù)總線超時(shí)的問題，有些總線已經(jīng)開發(fā)了用于飛機(jī)和飛機(jī)引擎飛行關(guān)鍵功能，其中提供了緊密預(yù)定的架構(gòu)。在這樣的時(shí)間觸發(fā)總線結(jié)構(gòu)，響應(yīng)按照預(yù)先分配的時(shí)鐘周期被預(yù)期和調(diào)度，以確?？煽啃?。然后可以檢測(cè)到超時(shí)，如果響應(yīng)未根據(jù)在特定預(yù)分配的時(shí)鐘周期的時(shí)間表返回。這個(gè)系統(tǒng)有些缺點(diǎn):總線的吞吐量由時(shí)間表嚴(yán)格決定并且時(shí)間觸發(fā)總線的靜態(tài)調(diào)度是相當(dāng)不靈活的。
[0026]為了提供瞬態(tài)響應(yīng)的靈活性，許多行業(yè)標(biāo)準(zhǔn)和專有總線允許任意響應(yīng)潛伏期(事件觸發(fā))。然而，任意的響應(yīng)潛伏期使得了解是否和何時(shí)響應(yīng)被預(yù)期范圍變成挑戰(zhàn)。為解決具有任意響應(yīng)潛伏期的互連數(shù)據(jù)總線的超時(shí)問題，硬件安全節(jié)點(diǎn)插入到片上總線層次結(jié)構(gòu)或網(wǎng)絡(luò)的兩個(gè)分區(qū)/段間:上游(主)段和下游(從)段。上游段可以連接到至少一個(gè)或一個(gè)以上主機(jī)，而下游段可連接到至少一個(gè)或多個(gè)從機(jī)。安全節(jié)點(diǎn)可以仲裁從上游段接收的事務(wù)，并為下游段發(fā)生的故障提供耐受性。
[0027]從廣義上講，總線層次結(jié)構(gòu)或總線網(wǎng)絡(luò)包括相互連接總線段供主機(jī)和/或從機(jī)可以付接或連接。取決于實(shí)施例或應(yīng)用，總線層次結(jié)構(gòu)或總線網(wǎng)絡(luò)可以具有不同的拓?fù)浣Y(jié)構(gòu)。總線層次結(jié)構(gòu)/網(wǎng)絡(luò)的上游段可以包括來自安全節(jié)點(diǎn)的一個(gè)或多個(gè)總線段上游，總線層次結(jié)構(gòu)/網(wǎng)絡(luò)的下游段可以包括來自安全節(jié)點(diǎn)的一個(gè)或多個(gè)總線段的下游?？偩€層次結(jié)構(gòu)或網(wǎng)絡(luò)的互連的總線段使一個(gè)或多個(gè)主機(jī)與一個(gè)或多個(gè)從機(jī)進(jìn)行通信(從總線層次結(jié)構(gòu)或網(wǎng)絡(luò)拓?fù)涞囊粋€(gè)點(diǎn)到總線層次結(jié)構(gòu)或網(wǎng)絡(luò)拓?fù)涞牧硪稽c(diǎn))。安全節(jié)點(diǎn)可以插入在總線層次結(jié)構(gòu)或總線網(wǎng)絡(luò)任何合適的點(diǎn)的兩個(gè)區(qū)段之間?？偩€層次結(jié)構(gòu)或總線網(wǎng)絡(luò)可以包括在總線層次結(jié)構(gòu)或總線網(wǎng)絡(luò)的不同點(diǎn)上的一個(gè)以上的安全節(jié)點(diǎn)。
[0028]安全節(jié)點(diǎn)，在運(yùn)行期間，轉(zhuǎn)發(fā)來自上游段中選定的主機(jī)的事務(wù)到下游段中的一個(gè)從機(jī)。處理超時(shí)，安全節(jié)點(diǎn)提供了(可編程)超時(shí)監(jiān)控，其檢測(cè)下游段事務(wù)是否使用過多的時(shí)間來作出響應(yīng)。在不違反任何子段的協(xié)議下，安全節(jié)點(diǎn)然后分離連接到轉(zhuǎn)發(fā)的事務(wù)，并通過返回一個(gè)預(yù)先設(shè)置的虛設(shè)/錯(cuò)誤響應(yīng)(或此處被寬稱為“預(yù)先設(shè)置的響應(yīng)”)，允許主機(jī)完成其事務(wù)。安全節(jié)點(diǎn)然后承擔(dān)主機(jī)的角色，并保持在下游段中的事務(wù)，直到這樣的時(shí)間由下游從設(shè)備響應(yīng)，或總線段被重置。雖然下游總線段仍然忙，安全節(jié)點(diǎn)拒絕由任何在上游段的任何主機(jī)隨后的接入請(qǐng)求，與預(yù)先設(shè)置的響應(yīng)一起，以這樣的方式，以使這些主機(jī)避免死鎖或失速，并進(jìn)行其他的處理，如錯(cuò)誤處理。措辭不同，通過傳送或觸發(fā)立即啞/錯(cuò)誤響應(yīng)(例如，預(yù)先設(shè)置的錯(cuò)誤響應(yīng))到這些后續(xù)請(qǐng)求，安全節(jié)點(diǎn)拒絕上游段的主機(jī)任何后續(xù)請(qǐng)求從而使這些主機(jī)避免死鎖或停機(jī)。
[0029]通過具有可以同時(shí)監(jiān)控和延續(xù)超時(shí)情況安全節(jié)點(diǎn)，安全節(jié)點(diǎn)可以溫和地處理在安全關(guān)鍵系統(tǒng)中互連數(shù)據(jù)總線的超時(shí)，并提供了一個(gè)容錯(cuò)號(hào)(即，來自安全節(jié)點(diǎn)，互連數(shù)據(jù)總線下游的可容忍故障/節(jié)點(diǎn)故障的數(shù)目)。換句話說，安全節(jié)點(diǎn)容忍互連數(shù)據(jù)總線上的故障的最大數(shù)量。此外，安全節(jié)點(diǎn)一旦檢測(cè)到超時(shí)將承擔(dān)主機(jī)的角色，代表主機(jī)等待事務(wù)完成，并拒絕下游發(fā)出的進(jìn)一步的事務(wù)，而能夠保持一個(gè)可靠的事務(wù)系統(tǒng)。
[0030]該安全節(jié)點(diǎn)方案具有能夠等待事務(wù)的晚的或延遲響應(yīng)的優(yōu)點(diǎn)，而不是簡(jiǎn)單地中止事務(wù)或重置系統(tǒng)。此外，安全節(jié)點(diǎn)被設(shè)計(jì)成夠模塊化足以支持超時(shí)功能，使用標(biāo)準(zhǔn)總線而不會(huì)影響系統(tǒng)的其它部分，如主機(jī)，或要求主機(jī)是復(fù)雜的總線中斷的處理器。
[0031]預(yù)先設(shè)置的響應(yīng)
[0032]實(shí)際上，安全節(jié)點(diǎn)提供(可編程)用于檢測(cè)事務(wù)超時(shí)情況的超時(shí)的超時(shí)監(jiān)測(cè)。如果已經(jīng)發(fā)生超時(shí)，安全節(jié)點(diǎn)發(fā)送或觸發(fā)預(yù)先設(shè)置的(虛擬)響應(yīng)返回給主機(jī)，這將釋放上游段主機(jī)以避免死鎖和進(jìn)行后續(xù)事務(wù)。取決于處理器或協(xié)議，用于釋放主機(jī)預(yù)先設(shè)置響應(yīng)可以改變。一般說來，到主機(jī)的響應(yīng)