Note: Descriptions are shown in the official language in which they were submitted.
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
CIRCUIT LOGIQUE PROTEGE CONTRE DES PERTURBATIONS TRANSITOIRES
La présente invention concerne des circuits numériques
insensibilisés à des perturbations externes, notamment des per-
turbations localisées provenant en particulier de bombardements
d'ions lourds.
Une telle perturbation est susceptible de basculer in-
tempestivement l'état d'un point mémoire, et des structures
particulières de point mémoire doivent être adoptées pour pallier
cet inconvénient.
Avec les technologies passées de fabrication de cir
cuits intégrés, un point mémoire était susceptible de basculer
seulement si la perturbation affectait directement ce point
mémoire. Il fallait, par exemple, qu'un ion lourd atteigne l'un
des transistors constituant le point mémoire. Des perturbations
survenant hors des points mémoire, c'est-à-dire dans des circuits
logiques combinatoires, avaient une très faible probabilité de
modifier les états de points mémoire. En effet, ces perturbations
se traduisaient par des impulsions très brèves qui étaient
filtrées pratiquement immédiatement par les capacités élevées des
conducteurs. Même si une telle perturbation provoquait une
impulsion parasite atteignant l'entrée d'une cellule mémoire,
cette impulsion avait une faible probabilité de modifier l'état
de la cellule mémoire.
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
2
Avec les technologies récentes, les capacités des
conducteurs deviennent de plus en plus faibles et les circuits,
notamment les cellulés mémoire, réagissent de plus en plus rapi-
dement, à tel point que des impulsions parasites provoquées par
des perturbations sont de durée suffisante pour modifier l'état
des cellules mémoire si elles surviennent au voisinage d'un front
d'une horloge qui cadence les cellules mémoire.
Ainsi, si on veut insensibiliser un circuit numérique
de technologie récente à des perturbations localisées, il ne
suffit pas d'insensibiliser les points mémoire, mais il faut
éviter que des impulsions parasites qu'elles pourraient générer
hors des points mémoire n'atteignent les points mémoire.
La génération d'une impulsion parasite par un circuit
logique combinatoire peut être considérée comme une erreur que
l'on pourrait corriger par une solution classique.
La figure 1 illustre une solution classique que l'on
pourrait employer pour corriger les erreurs produites par un
circuit logique combinatoire. Il s'agit d'un système correcteur
d'erreurs à redondance triple. Un même circuit logique combi-
natoire 10 est dupliqué deux fois, respectivement en 11 et en 12.
Les sorties des circuits 10 à 12 sont fournies à un circuit de
vote majoritaire 14 qui sélectionne pour sa sortie la valeur qui
est fournie par au moins deux des circuits redondants 10 à 12. La
sortie du circuit de vote majoritaire 14 est donc exempt d'erreur
en cas de défaillance d'au plus un des circuits redondants 10 à
12, même si cette défaillance est pernianente.
Bien entendu, cette solution triple la surface silicium
du circuit intégré.
I1 existe d'autres solutions qui consistent à générer
3 0 des codes correcteurs d' erreur pour les sorties d' un circuit . Si
l'on veut pouvoir corriger toutes les sorties d'un circuit, cette
solution est équivalente, en termes d'occupation de surface, à la
redondance triple de la figure 1.
Un objet de la présente invention est de prévoir une
solution pour éliminer en sortie d'un circuit logique combi-
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
3
natoire toute impulsion parasite provoquée par une perturbation
localiséé, ceci en occupant une surface silicium relativement
faible.
Pour atteindre cet objet, la présente invention prévoit
un circuit protégé contre des perturbations transitoires,
comprenant un circuit logique combinatoire ayant au moins une
sortie ; un circuit de génération d'un code de contrôle d'erreurs
pour ladite sortie ; et un élément mémoire disposé à ladite sor
tie, ondé par le circuit de génération de code de contrôle
pour être transparent lorsque le code de contrôle est correct, et
pour conserver son état lorsque le code de contrôle est
incorrect.
Selon un mode de réalisation de la présente invention,
le circuit de génération de code de contrôle d'erreurs comprend
un circuit de calcul d'un bit de parité pour ladite sortie et un
circuit de vérification de la parité de la sortie et du bit de
parité.
Selon un mode de réalisation de la présente invention,
le circuit de génération de code de contrôle d'erreurs comprend
un circuit logique dupliqué, ledit ëlément mémoire étant prévu
pour être transparent lorsque les sorties du circuit logique et
du circuit dupliqué sont identiques, et, pendant que lesdites
sorties sont distinctes, conserver son état.
Selon un mode de réalisation de la présente invention,
le circuit de génération de code de contrôle d'erreurs comprend
un élément pour retarder ladite sortie d'une durée prédéterminée
supérieure à la durée maximale des erreurs transitoires, ledit
élément mémoire étant prévu pour être transparent lorsque les
sorties du circuit logique et de l'élément de retard sont
identiques, et pour, pendant que lesdites sorties sont
distinctes, conserver son état.
Selon un mode de réalisation de la présente invention,
ledit élément mémoire est réalisé à partir d'une porte logique
fournissant ladite sortie du circuit logique, cette porte logique
comprenant au moins deux premiers transistors commandés par un
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
4
signal du circuit logique et au moins deux seconds transistors
commandés par le signal correspondant du circuit dupliqué, chacun
des seconds transistors étant connecté en série avec l'un
respectif des premiers transistors.
La présente invention vise également un circuit protégé
contre des perturbations transitoires, comprenant un circuit
logique combinatoire ayant au moins une sortie reliée à une
première bascule de synchronisation cadencée par une horloge, une
deuxième bascule reliée à ladite sortie et cadencée par l'horloge
retardée d'une durée prédéterminée, et un circuit d'analyse des
sorties des bascules.
Selon un mode de réalisation de la présente invention,
le circuit d'analyse signale une erreur si les sorties des
bascules sont différentes.
Selon un mode de réalisation de la présente invention,
le circuit comprend une troisième bascule reliée à ladite sortie
et cadencée par l'horloge retardée du double de la durée
prédéterminée, le circuit d'analyse étant un circuit de vote
maj oritaire .
La présente invention vise en outre un circuit protégé
contre des perturbations transitoires comprenant un circuit
logique combinatoire ayant au moins une sortie reliée à une
première bascule de synchronisation cadencée par une horloge, une
deuxième bascule cadencée par l'horloge et recevant ladite sortie
retardée d'une durée prédéterminée, et un circuit d'analyse des
sorties des bascules.
Selon un mode de réalisation de la présente invention,
1e circuit d'analyse signale une erreur si les sorties des
bascules sont différentes.
Selon un mode de réalisation de la présente invention,
le circuit comprend une troisième bascule cadencée par l'horloge
et recevant ladite sortie retardée du double de la durée
prédéterminée, le circuit d'analyse étant un circuit de vote
maj oritaire .
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
La présente invention vise par ailleurs un circuit
protégé contre des perturbations transitoires, comprenant trois
circuits logiques identiques. Chacun des circuits logiques est
précédé d'un élément mémoire à deux entrées recevant respecti-
5 vement les sorties des deux autres circuits logiques, chaque
élément mémoire étant prévu pour être transparent lorsque ses
deux entrées sont identiques, et pour conserver son état lorsque
les deux entrées sont différentes.
Selon un mode de réalisation de la présente invention,
les circuits logiques sont des inverseurs et les éléments mémoire
comprennent, en série, deux transistors MOS à canal P et deux
transistors MOS à canal N, une première des entrées de l' élément
mémoire étant reliée aux grilles d'un premier des transistors MOS
à canal P et d'un premier des transistors MOS à canal N, et la
deuxième entrée de l'élément mémoire étant reliée aux grilles des
deux autres transistors.
Ces objets, caractéristiques et avantages, ainsi que
d'autres de la présente invention seront exposés en détail dans
la description suivante de modes de réalisation particuliers
faite à titre non-limitatif en relation avec les figures jointes
parnv. lesquelles
la figure 1, précédemment décrite, illustre une solu-
tion classique de correction d'erreurs produites par un circuit
défaillant ;
la figure 2A représente schématiquement un premier mode
de réalisation de circuit selon l'invention permettant de suppri-
mer des impulsions parasites générées par des perturbations
localisées dans un circuit logique combinatoire ;
la figure 2B représente un chronogramme illustrant le
fonctionnement du circuit de la figure 2A ;
les figures 3A et 3B représentent deux exemples d'élé-
ments à conservation d'état utilisés dans le circuit de la figure
2A ;
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
6
la figure 4 représente schématiquement un deuxième mode
de réalisation de circuit selon l'invention permettant de suppri-
mer des impulsions parasites ;
la figure 5 représente un exemple d'élément à conser-
vation d'état utilisé dans le circuit de la figure 4 ;
les figures 6A, 6B et 6C représentent d'autres exemples
d' éléments à conservation d' état du type utilisé dans le circuit
de la figure 4 ;
la figure 7A représente schématiquement un troisième
mode de réalisation de circuit selon l'invention permettant de
supprimer des impulsions parasites ;
la figure 7B représente un chronogramme illustrant le
fonctionnement du circuit de la figure 7A ;
la figure 8A représente une variante du mode de réali-
sation de la figure 7A ;
la figure 8B représente un chronogramme illustrant le
fonctionnement du circuit de la figure 8A ;
la figure 9A représente un quatrième mode de réali
sation de circuit selon l'invention permettant de supprimer des
impulsions parasites ;
la figure 9B représente un chronogramme illustrant le
fonctionnement du circuit de la figure 9A ;
la figure l0A représente schématiquement un cinquième
mode de réalisation de circuit selon l'invention permettant de
supprimer des impulsions parasites ;
la figure lOB représente un chronogramme illustrant le
fonctionnement du circuit de la figure l0A ;
la figure 11 représente une application du mode de
réalisation de la figure 4 à une boucle asynchrone ;
la figure 12 représente une amélioration de la
structure de la figure 11 ;
la figure 13 représente une simplification de la
structure de la figure 12 ;
la figure 14 représente une application du principe de
la figure 13 à une cellule mémoire statique ; et
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
7
la figure 15 représente un circuit de vote majoritaire
réalisé à partir de la stnzcture de la figure 14.
On propose, selon l'invention, plusieurs solutions per
mettant de supprimer des impulsions parasites générées par un
circuit logique combinatoire à la suite d'une perturbation loca
lisée, par exemple due à un bombardement d'ion lourd. Toutes ces
solutions, pour arriver à des structures particulièrement sim-
ples, exploitent le fait que les impulsions parasites constituent
des erreurs transitoires et non permanentes . Les modes de réali-
sation de l'invention évitent ainsi l'utilisation de solutions
classiques, à redondance triple ou à codes correcteurs d'erreurs
multiples, destinées à corriger une défaillance permanente d'un
circuit.
La figure 2A représente schématiquement un premier mode
de réalisation de l'invention exploitant cette caractéristique.
Un circuit logique combinatoire 10 est associé à un circuit de
vérification 20 qui fournit un code de contrôle d'erreur P pour
la sortie A du circuit logique 10. Le circuit 20 est par exemple
un circuit qui calcule de manière classique un bit de parité P
pour la sortie A du circuit logique 10, cette sortie A pouvant
bien sûr être multiple. En 22, le bit de parité P est combiné par
OU-Exclusif avec la sortie A du circuit logique 10, ce qui
fournit un signal d'erreur E qui est actif lorsque la paritê est
mauvaise, c'est-à-dire lorsque la sortie A ou le bit de parité P
comporte une erreur.
Le signal d' erreur E et la sortie A sont fournis à un
élément que l'on dira "à conservation d'état" 24. I1 s'agit en
fait d'un élément mémoire semblable à une bascule à transparence
commandée, c'est-à-dire ayant un premier mode, sélectionné lors-
que le signal d'erreur E est inactif, où la sortie A est
transmise telle quelle à la sortie S de l'élément 24. Dans un
deuxième mode, sélectionné lorsque le signal d'erreur E est
actif, l'élément 24 conserve l'état de la sortie A, tel qu'il
était avant l'activation du signal d'erreur E.
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
8
Une bascule 26, prévue classiquement pour verrouiller
la sortié du circuit logique 10, reçoit la sortie S de l' élément
à conservation d'état 24 au lieu de recevoir directement la
sortie A du circuit 10. Cette bascule 26 est cadencée par une
horloge CK destinée à rendre la sortie du circuit 10 synchrone
aux sorties d'autres circuits. La bascule 26 est un registre dans
le cas où la sortie A est multiple . Cette bascule ou ce registre
sont, de préférence, de structure insensible aux perturbations
localisées.
La figure 2B représente un chronogramme illustrant le
fonctionnement du circuit de la figure 2A. A un instant to,
lorsque survient un premier front actif de l'horloge CK, la
sortie A du circuit logique 10 est à un état quelconque X. Le
signal d'erreur E, étant inactif, l'élément 24 est en mode
"transparent" et transmet l'état X sur sa sortie S. Cet état x
est verrouillé dans la bascule 26. La sortie de la bascule 26,
étant éventuellement réalimentée au circuit logique 10, ce
circuit logique génère une nouvelle sortie A après un délai t~
correspondant au temps de propagation dans le "chemin critique"
du circuit 10.
A un instant tl, la sortie A du circuit 10 change
d'état, par exemple, passe à 0. Il en est de même pour la sortie
S de l'élément 24 qui est toujours mis en mode "transparent" par
le signal E.
A un instant t2 débute une impulsion parasite sur la
sortie A, qui se termine à un instant t3. La figure 2B illustre un
cas défavorable où l'impulsion parasite sur le signal A risque
d'entraîner une modification intempestive de l'état de la bascule
26. Dans cet exemple, la fin de l'impulsion parasite coïncide
avec le front actif suivant de l'horloge CK, lequel front provo-
que la mêmorisation dans la bascule 26 de l'état de la sortie S
précédant immédiatement l'instant t3. Or, le signal d'erreur E
devient actif pendant la durée tp de l'impulsion parasite, rendant
l'élément 24 "opaque' à l'évolution du signal A entre les
instants t2 et t3. En conséquence, le signal S ne change pas
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
9
d'état pendant l'impulsion parasite et la bascule 26 mémorise une
valeur correcte.
Une bascule ne change d' état que si le nouvel état lui
a été présenté suffisamment longtemps avant le front actif d'hor
loge correspondant, pendant une durée dite d'initialisation. En
fait, un risque de mémorisation de valeur erronée par la bascule
26 se présente dans une plage de variation de la position de
l'impulsion parasite, cette plage allant d'une position où la fin
de l'impulsion précède le front actif de l'horloge CK de la durée
d'initialisation, à une position où le début de l'impulsion
survient au moment du front actif de l'horloge CK.
Par ailleurs, étant donné que l'élément de conservation
d'état 24 est également une cellule de mémorisation, l'état qu'il
doit mémoriser doit avoir été présenté au moins pendant un temps
d'initialisation avant l'ordre de mémorisation (l'activation du
signal E). Ainsi, il est nécessaire que la durée séparant les
instants tl et t2 soit supérieure à ce temps d'initialisation. En
outre, on doit également garantir qu'un temps d'initialisation
ccxnplet de l'élément 24 se soit écoulé avant ou après l'impulsion
parasite entre les instants tl et t3, ceci pour être sûr que
l'élément 24 prend en compte le niveau hors de l'impulsion.
Ces contraintes imposent le choix d'une durée minimale
de la période de l'horloge CK, égale à t~ + 2t~4 + tp + t~6, où t~
est le temps de propagation dans le chemin critique du circuit
logique 10, ti,z4 le temps d' initialisation de l' élément 24, tp la
durée maximale d'une impulsion parasite, et t1,26 le temps d'ini-
tialisation de la bascule 26. Dans certains cas, notamment si
l'élément 24 a un effet de mémorisation capacitif, cette période
peut être réduite de t~4.
Cette solution requiert donc, par rapport à un circuit
logique normal, une augmentation de la période d'horloge. En
effet, dans un circuit normal, la période d'horloge doit être
supérieure seulement à tC + t~6. Par contre, grâce à cette
redondance temporelle, le circuit offre le même niveau de sécu-
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
rité qu'un circuit classique à redondance triple (figure 1) avec
un coût matériel sensiblement inférieur.
Un élément de conservation d' état 24 sera en règle gé
nérale réalisé à partir de portes logiques fournissant les
5 sorties du circuit logique combinatoire 10 à des bascules 26.
Les figures 3A et 3B représentent deux exemples d'élé-
ments à conservation d'état réalisant une fonction NON-ET à deux
entrées. Les deux entrées a et b sont fournies à une porte ET 30
dont la sortie est connectée à une première entrée d'une porte
10 NON-OU 32. Une porte OU-Exclusif 22', équivalente à la porte OU-
Exclusif 22 de la figure 2A, reçoit les entrées a et b, ainsi que
le bit de parité P. La sortie E de la porte 22' est fournie à une
deuxième entrée de la porte NON-OU 32 et à une première entrée
d'une porte ET 34. Les sorties des portes 32 et 34 sont fournies
à une porte OU 36 qui fournit la sortie S de l'élément à conser-
vation d'état, laquelle sortie est rebouclée sur une deuxième
entrée de la porte ET 34.
Lorsqu'il n'y a pas d'erreur de parité, le signal E est
à zéro. Alors, la sortie de la porte ET 30 est inversée par la
porte NON OU 32 et transmise sur la sortie S par la porte OU 36.
En cas d' erreur de parité, le signal E est à 1, provo-
quant une mémorisation de l'état de la sortie S dans un point
mémoire constitué des portes 34 et 36.
Le circuit de la figure 3A nécessite quatre portes pour
réaliser la fonction d'une seule porte.
La figure 3B représente une solution moins coûteuse en
matériel pour réaliser un élément à conservation d'état réalisant
une fonction NON-ET. Les signaux d'entrée a et b sont fournis aux.
deux entrées d'une porte NON-ET 38 dont la sortie est reliée à un
condensateur C par l'intermédiaire d'un interrupteur K. L'inter-
rupteur K est commandé par le signal d'erreur E fourni par la
porte OU-Exclusif 22'.
Lorsque le signal d'erreur E est inactif, l'inter
rupteur K est fermé et le condensateur C se charge au niveau
fourni par la porte 38 . Lorsque le signal d' erreur E est activé,
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
11
l'interrupteur K est ouvert, mais l'état de la sortie S de l'élé-
ment est conservé par le condensateur C pendant la durée de
l'impulsion parasite. On remarquera que le condensateur C peut
être constitué par la simple capacité de la ligne de sortie S.
Des éléments de conservation d'état réalisant d'autres
fonctions logiques pourront être réalisés par l'homme du métier.
Par exemple, pour réaliser la fonction identité en utilisant la
solution de la figure 3B, le signal d'entrée, unique, est direc-
tement fourni à l'interrupteur K.
Le mode de réalisation de la figure 2A présente l'in-
convénient, notamment si le nombre de sorties A du circuit
logique 10 est important, que la porte OU-Exclusif 22, à plu-
sieurs entrées, réagit avec un retard important pour activer le
signal d'erreur E. Il en résulte qu'une partie du début de l'im-
pulsion parasite est transmise sur la sortie S. Toutefois, dans
la plupart des cas, la durée de cette partie d'impulsion sera
inférieure au temps d'initialisation de la bascule 26 et n'affec-
tera donc pas son état.
La figure 4 représente un mode de réalisation permet-
tant d'éviter cet inconvénient.
Le circuit logique combinatoire 10 est dupliqué une
fois en 11. La sortie A du circuit 10 et la sortie dupliquée A*
du circuit 11 sont fournies à un élément de conservation d'état
24' qui transmet sur sa sortie S l'état de son entrée A ou A*
lorsque les entrées A et A* sont identiques et qui conserve son
état lorsque les entrées A et A* deviennent différentes.
Le fonctionnement de ce circuit est similaire à celui
de la figure 2A en considérant qu'une condition où les entrées A
et A* sont différentes correspond à l' activation du signal d' er
reur E à la figure 2B.
La figure 5 représente un élément à conservation d'état
24' du circuit de la figure 4 réalisant une fonction ET à deux
entrées. Les entrées a et b sont fournies à une porte ET 50 dont
la sortie est fournie à une première entrée d'une porte ET 52 et
à une première entrée d'une porte OU 54. Les entrées dupliquées
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
12
a* et b* sont fournies à une porte ET 56 dont la sortie est
connectéé à la deuxième entrée de la porte 52 et à la deuxième
entrée de la porte 54. Les sorties des portes 52 et 54 sont
connectées respectivement à des portes 36 et 34 similaires aux
portes 36 et 34 de la figure 3A.
On remarquera que les portes 34, 36, 52, et 54
constituent un élément à conservation d'état ayant la fonction
logique "identité". Pour créer une fonction logique quelconque,
il suffit de relier deux portes, réalisant chacune cette fonction
de manière classique, aux portes 52 et 54.
Selon un autre mode de réalisation, on réalise les
éléments à conservation d'état à partir de la structure interne
de portes logiques classiques. On prévoit pour cela deux
transistors connectés en série pour chaque transistor requis
normalement dans la porte classique. Les deux transistors sont
comtinandés pour être ouverts en même temps, de sorte que, si l'un
d'eux se ferme du fait d'une perturbation, le deuxième, restant
ouvert, empêche toute circulation de courant intempestive. Une
telle configuration se prête particulièrement bien à une
structure du type de la figure 4 comprenant deux circuits
logiques redondants. En effet, les deux transistors de
l'association série sont alors commandés respectivement par un
signal et son signal dupliqué.
La figure 6A représente un élément à conservation
d'état selon ce principe ayant une fonction d'inverseur. La
sortie S du circuit est reliée à un potentiel haut par l'inter
médiaire de deux transistors MOS à canal P en série MP1 et MP2.
La sortie S est également reliée à un potentiel bas par deux
transistors MOS à canal N en série MN1 et MN2. Un premier des
deux transistors MOS à canal P et un premier des deux transistors
MOS à canal N sont commandés par un signal normal a tandis que
les transistors restants sont commandés par le signal dupliqué
a* .
Si les signaux a et a* sont égaux, correspondant à un
fonctionnement normal, les deux transistors MP ou les deux tran-
CA 02367151 2001-09-07
WO 00/54410 PCTlFR00/00573
13
sistors MN sont conducteurs et forcent la sortie S vers le
potentiel correspondant pour remplir la fonction d'inverseur.
Si les signaux a et a* sont différents, au moins un des
transistors MP et au moins un des transistors MN est bloqué, d'où
il résulte que la sortie S est flottante et conserve son niveau
précédent par effet capacitif.
La figure 6B représente un élément à conservation
d'état réalisant une fonction NON-OU. Sa sortie S est reliée à un
potentiel haut par l'intermédiaire de quatre transistors MOS à
canal P en série, commandés respectivement par les signaux d'en-
trée normaux a et b et leurs signaux dupliqués a* et b*. La
sortie S est également reliée à un potentiel bas par l'inter-
médiaire de deux associations série de transistors MOS à canal N,
l'une comportant deux transistors commandés respectivement par
les signaux a et a*, l'autre comportant deux transistors comman-
dés respectivement par les signaux b et b*.
La figure 6C représente un élément de conservation
d'état réalisant une fonction NON-ET. La sortie S est reliée au
potentiel bas par l'intermédiaire de quatre transistors MOS à
2 0 canal N en série commandés respectivement par les signaux a et b
et leurs signaux dupliqués a* et b*. La sortie S est également
reliée au potentiel haut par l'intermédiaire de deux associations
série de transistors MOS à canal P, la premiëre comprenant deux
transistors commandés respectivement par les signaux a et a*, et
la deuxième comprenant deux transistors commandês respectivement
par les signaux b et b*.
Les éléments des figures 6B et 6C fonctionnent selon le
principe décrit en relation avec la figure 6A. Plus généralement,
ce principe de mise en série de transistors dupliqués s' applique
à toute porte logique.
Le circuit de la figure 6A peut être utilisé en tant
que cellule mémoire dynamique insensible aux perturbations. Pour
cela, l'état de la cellule est stocké de manière redondante sur
les deux entrées a et a* par effet capacitif. Si l'une des
entrées est perturbée, la sortie S conserve son état précédent
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
14
par effet capacitif, jusqu'au rafraîchissement de la cellule
rétablissant l'état correct de l'entrée perturbée. Ce principe
s'applique aussi à tout élément de conservation d'état (figures
3A, 3B, 5, 6B, 6C). Pour cela, il suffit d'utiliser un élément de
mémorisation (capacité, mémoire statique) sur les entrées de
l'élément à conservation d'état, et de verrouiller les valeurs
fournies par la sortie A du circuit 10 et par la sortie du
circuit de vérification d'erreur (20, 11).
On pourra également utiliser d'autres éléments à
conservation d'état, tels qu'un élément de mémorisation
spécifique décrit dans "Upset Hardened Memory Design for
Submicron CMOS Technology", 33~ International Nuclear and Space
Radiation Effects Conference, Juillet 1996, Indian Wells,
Californie, T. Calin, M. Nicolaidis, R. Velazco.
La figure 7A représente un troisième mode de réalisa-
tion de circuit combinatoire selon l'invention insensible à des
perturbations localisées. I1 comprend un seul circuit logique
combinatoire 10. La suppression des impulsions parasites est
obtenue exclusivement grâce à une redondance temporelle, contrai-
rement aux modes de réalisation précédents combinant les
redondances temporelle et matérielle. La sortie A du circuit 10
est fournie à trois bascules 70, 71 et 72 cadencées
respectivement par l'horloge CK, l'horloge CK retardée d'une
durée b et l'horloge CK retardée d'une durée 28. Les sorties S1,
S2 et S3 de ces bascules sont fournies à un circuit de vote
majoritaire 74 qui fournit la sortie S corrigée.
La figure 7B représente un chronogramme illustrant le
fonctionnement du circuit de la figure 7A. Ce chronogramme repré-
sente, sous forme de barres verticales, les fronts actifs des
signaux d'horloge CK, CK+b et CK+28. On suppose que le signal A
présente une mulsion parasite à cheval sur le premier front de
l'horloge CK, survenant à un instant to. La bascule 70, activée à
l'instant to, stocke de manière erronée l'état de l'impulsion
parasite.
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
A un instant t2 le signal A passe à 1 de manière
normale. Cette transition survient un intervalle de temps t~ après
un instant tl où est survenu le dernier front de l'horloge CK+28.
Le temps t~ est le temps de propagation à travers le circuit de
5 vote 74 et le circuit logique 10.
A des instants t3, t4 et ts, l' état 1 du signal A est
échantillonné par les fronts respectifs suivants des horloges CK,
CK+~ et CK+28. Le signal S1 reste à 1 tandis que les signaux S2 et
S3 passent à 1, respectivement aux instants t3, t4 et ts.
10 Un intervalle de temps t~ après l' instant ts, le signal
A passe à 0. I1 en résulte qu'aux fronts suivants des horloges
CK, CK+8 et CK+28, les signaux S1, S2, et S3 passent
successivement à 0.
La sortie S du circuit de vote 74 est à 1 lorsqu'au
15 moins deux des signaux S1, S2 et S3 sont à 1. C'est le cas qui se
produit à partir de l' instant t4, pendant que le signal S2 est â
1.
On remarque que le circuit de la figure 7A ne passe pas
à 1 à l'instant to où survient l'impulsion parasite, mais passe
correctement à 1 à l'instant t4 en réponse à un passage normal à 1
du signal A.
Pour que ce mode de réalisation fonctionne correc-
tement, l'impulsion parasite doit être échantillonnée par une
seule des horloges CK, CK+8 et CK+28. La durée maximale tp des
impulsions parasites peut pour cela atteindre la valeur 8 - th, où
th est le temps d' initialisation des bascules 70 à 72 . Ainsi, on
choisit b = tp + th. Par ailleurs, la période des horloges doit
être choisie au moins égale à tC + 2b + th, lequel temps
correspond au temps de propagation maximal des entrées du circuit
10 vers la sortie S.
La figure 8A représente une variante du mode de réali-
sation de la figure 7A. Dans cette figure, des mêmes éléments
qu'à la figure 7A sont désignés par des mêmes références. Au lieu
de cadencer les bascules 70 à 72 par des horloges retardées les
unes par rapport aux autres, ces bascules sont cadencées par la
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
16
même horloge CK. Par contre, le signal A est fourni à deux lignes
à retard en cascade 80 et 81 introduisant chacune un retard 8. Le
signal A est directement fourni à la bascule 70, la sortie A2 de
la ligne à retard 80 est fournie à la bascule 71 et la sortie A3
de la ligne à retard 81 est fournie à la bascule 72.
La figure 8B représente un chronogramme illustrant le
fonctionnement du circuit de la figure 8A. A un instant to sur-
vient le premier front de l'horloge CK. On suppose que le signal
A présente une impulsion parasite à cheval sur ce front. I1 en
résulte que le signal S1 passe à un à cet instant to. Les signaux
A2 et A3 présentent la même impulsion parasite mais décalée
respectivement de 8 et de 28 par rapport à l'instant to.
Le retard b est choisi supérieur à la durée tp + th, où
tp est la durée maximale d'une impulsion parasite et th le temps
d'initialisation des bascules 70 à 72. On assure ainsi, dans
l'exemple de la figure 8B, que l'impulsion parasite du signal A2
ne soit pas échantillonnée à l~instant to. Il en résulte que la
valeur du signal S2, et a fortiori du signal S3, reste correcte
(ici égale à 0).
A l'instant tl, survient le front suivant de l'horloge
CK. Les signaux A à A3 sont échantillonnés alors qu'ils sont à 0.
I1 en résulte que le signal S1 passe à 0 et que les signaux S2 et
S3 restent à 0.
A un instant t2, entre l' instant tl et le front suivant
de l'horloge CK survenant à un instant t3, le signal A passe à 1
de manière normale pendant une période d'horloge. La durée sépa-
rant les instants tl et t2 correspond au temps t~ de propagation
dans le chemin critique du circuit 10 et dans le circuit de vote
74 . Dans l' exemple représenté, le retard t~ est tel que le front
montant correspondant des signaux A2 et A3 survienne encore avant
l'instant t3.
Ainsi, à l'instant t3, les signaux A, A2 et A3 sont
échantillonnés alors qu'ils sont à 1. Les signaux S1, S2 et S3
passent à 1. Les signaux S1, S2 et S3 restent à 1 jusqu'au front
suivant du signal d'horloge survenant à un instant t4. A cet
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
17
instant t4, les signaux A, A2 et A3 sont passés à 0. Il en résulte
que les signaux S1, S2 et S3 passent à 0.
Le signal S présente une allure correcte en restant à 0
entre les instants to et tl et en passant à 1 entre les instants
t3 et t4, pendant que les signaux Sl, S2 et S3 sont tous trois à
1.
Le fonctionnement correct illustré à la figure 8B est
obtenu pourvu que la valeur minimale de la période d'horloge soit
égale à t~ + 2b + t,,.
La figure 9A représente schématiquement un quatrième
mode de réalisation de circuit selon l'invention permettant de
supprimer des impulsions parasites. On utilise ici un élément de
conservation d'état 24' du type de celui de la figure 4, prévu
pour fonctionner avec des signaux dupliqués. Cet élément reçoit
la sortie A du circuit logique 10 et cette même sortie est retar-
dée par une ligne à retard 90 introduisant un retard 8. Le signal
fourni par cette ligne à retard 90 constitue le signal dupliqué
A*. La sortie S de l'élément 24' est fournie à une bascule 26.
La figure 9B représente un chronogramme illustrant le
fonctionnement du circuit de la figure 9A. Comme dans les exem
ples précédents, le signal A présente une impulsion parasite à
cheval sur un premier front de l'horloge CK survenant à un ins
tant t0.
A un instant tl, avant le front montant suivant de
l'horloge CK survenant à un instant t3, le signal A passe à 1. Les
instants to et tl sont distants du temps de propagation t~ dans le
chemin critique du circuit 10.
A un instant t2, survenant également avant l'instant t3,
le signal retardé A* passe à 1.
Les signaux A et A* restent à 1 pendant une période
d'horloge et passent à 0 à des instants respectifs t~ et t5 avant
le front d'horloge suivant survenant à l'instant t5.
Le signal S fourni par le circuit à conservation d'état
24' ne change d'état qu'au moment où les signaux A et A* devien
nent égaux. Ceci se produit seulement à l'instant tz où le signal
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
18
A* passe à 1 alors que le signal A est déjà à 1, et à l'instant t5
où le signal A* passe à 0 alors que le signal A est déjà à 0 (le
temps de propagation de l'élément 24' est ici négligé pour des
raisons de clarté).
Ainsi, le signal S est à 1 entre les instants t2 et ts .
Cet état 1 est échantillonné par la bascule 26 à l'instant t3, et
correspond à l'état qu'il faut effectivement échantillonner dans
le signal A.
Le fonctionnement du circuit est correct si la période
d'horloge est au moins égale à t~ + 8 + 2t24, + tp + th, où t24, est
le temps de propagation dans l'élément 24' et th le temps
d'initialisation de la bascule 26. La valeur 8 doit être choisie
supérieure à t.~ - t24'
La figure l0A représente schématiquement un cinquième
mode de réalisation de circuit selon l'invention, permettant de
détecter de manière simple une erreur liée à une impulsion para
site. La sortie A du circuit logique 10 est fournie à deux
bascules 92 et 93, l'une cadencée par l'horloge CK et l'autre par
l'horloge retardée d'une durée b. A titre de variante, la bascule
92 peut être commandée par un front ou un niveau d'un premier
type (montant ou descendant - haut ou bas) d'une horloge CK,
tandis que la bascule 93 est commandée par un front ou un niveau
de type opposé de la même horloge (front descendant ou montant -
bas ou haut). Les sorties S1 et S2 de ces bascules sont fournies
à un comparateur 95 dont la sortie est fournie à une bascule 97.
La bascule 97 est cadencée par une horloge CK+&+E, légèrement
retardée par rapport au signal CK+d. La bascule 93 est utilisée
ici pour synchroniser le signal A, et sa sortie S2 est
éventuellement rebouclée sur les entrées du circuit logique 10.
La figure lOB représente un chronogramme illustrant le
fonctionnement du circuit de la figure 10A. Comme dans l' exemple
précédent, une impulsion parasite survient dans le signal A à
cheval sur un front du signal CK survenant à un instant to. Il en
résulte que le signal Sl passe à 1. Par contre, la bascule 93
n'échantillonne pas encore le signal A et sa sortie S2 reste
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
19
inchangée (à 0). Le comparateur 95 n'indique pas encore une
inégalité des signaux S1 et S2, et le signal ERR indique une
absence d'erreur par un état 0.
A un instant tl, survient le front suivant de l'horloge
CK+8, après l'impulsion parasite dans le signal A. Le signal S2
reste inchangé.
A un instant t2, une durée E après le premier front du
signal CK+8, survient le front suivant de l'horloge CK+&~-~, lequel
front provoque l'échantillonnage de la sortie du comparateur par
la bascule 97. Les signaux S1 et S2 étant différents, le signal
d'erreur ERR est activé
A un instant t3, un intervalle t~ après l'instant tl, le
signal A passe à 1 de manière normale. Cet état 1 est
échantillonné par l'horloge CK à un instant t4. Le signal S1 reste
à 1.
A un instant ts survient le front suivant de l'horloge
CK+b, qui échantillonne le signal A alors que celui-ci est encore
à 1. Le signal S2 passe à 1. Le signal A passera à 0 après
l'intervalle de propagation t~.
A un instant t6 survient le front suivant de l'horloge
CK+&+s, qui échantillonne la sortie du comparateur 95. Les signaux
S1 et S2 étant au même état, le signal d'erreur ERR est
désactivé.
A un instant t., survient le front suivant de l'horloge
CK, qui échantillonne le signal A alors que celui-ci est à 0. Le
signal S1 passe à 0.
A un instant tg survient le front suivant de l'horloge
CK+8 qui échantillonne le signal A alors que celui-ci est à 0. I1
en résulte que le signal S2 passe à 0.
La période de l'horloge doit être choisie au moins
égale à t~ + th + 8, la durée 8 étant au moins égale à la durée t~
+ tr.
Selon une variante, non représentée, du circuit de la
figure 10A, c'est 1a sortie S1 qui est exploitée. Alors, on doit
veiller à ce qu'une transition de la sortie S1 ne soit pas
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
propagée vers la sortie A avant le front suivant de l'horloge
CK+8. En d'autres termes, il faut que le temps de propagation t~
soit supérieur à b. Dans ce cas, la période d'horloge sera égale
à t~ + th, c'est-à-dire égale à la période d'horloge du circuit
5 classique sans protection contre les erreurs transitoires.
Le signal d'erreur fourni par le circuit de la figure
l0A peut être exploité de diverses manières pour corriger l'er-
reur détectée. On peut envisager, par exemple, que ce signal
d'erreur déclenche une reprise d'opération, par exemple la
10 répétition d'une dernière "instruction" exécutée par le système.
Il peut également être utilisé pour corriger une erreur
de synchronisation due à l'utilisation d'une horloge trop rapide.
En cas d'erreur, on déclenche une reprise et on réduit la
fréquence de l'horloge pendant la reprise. Ceci est
15 particulièrement intéressant dans le cas de la variante
exploitant la sortie S1, dans laquelle le circuit fonctionne à la
vitesse du circuit classique.
Selon une autre variante, non représentée, du circuit
de la figure 10A, les bascules 92 et 93 sont cadencées par la
20 même horloge CK et l'une d'entre elles reçoit le signal A retardé
de la durée 8.
De nombreux circuits numériques forment des boucles
asynchrones, c'est-à-dire que leurs sorties sont directement
rebouclées sur leurs entrées, sans passer par une bascule de
synchronisation. Les cellules mémoire statiques en sont un
exemple . De tels circuits sont susceptibles de mémoriser un état
et sont donc sensibles aux perturbations risquant de basculer cet
état.
La figure 11 représente une agencement selon
l'invention pour protéger un tel circuit, utilisant le principe
de duplication de la figure 4. La sortie d'un circuit logique 10
et la sortie d'un circuit logique dupliqué 11 sont reliées
respectivement aux deux entrées d'un premier élément à
conservation d'état 24a et d'un deuxième élément à conservation
d'état 24b, tous deux du type de celui de la figure 4. La sortie
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
21
de l'élément 24a est rebouclée sur le circuit 10, tandis que la
sortie de l'élément 24b est rebouclée sur le circuit 11. I1 est
nécessaire d'utiliser deux éléments à conservation d'état, car si
on en utilisait un seul dont la sortie serait rebouclée sur les
deux circuits 10 et 11, une perturbation dans l'élément serait
transmise aux deux circuits dupliqués, provoquant la même erreur
dans les deux circuits. Cette condition d'erreur ne serait pas
corrigée.
La structure de la figure 11 est toutefois sensible à
une perturbation survenant sur la sortie de l'un des éléments à
conservation d'état. Si le temps de propagation dans le circuit
10 ou 11 concerné est inférieur à la durée de la perturbation, la
perturbation retardée arrive à l'entrée de l'élément à
conservation d'état avant même que la perturbation n'ait disparu
sur sa sortie. Il en résulte que l'élément tend à conserver
l'état erroné affecté par la perturbation.
La figure 12 représente une structure évitant ce
problème. Le circuit 10 et son dupliqué 11 sont chacun scindés en
deux parties, l0a et lOb pour le circuit 10, et lla et llb pour
le circuit 11. Entre les deux parties de chaque circuit, on
insère un élément à conservation d'état supplémentaire, 24c entre
les parties l0a et lOb, et 24d entre les parties lla et llb, les
éléments 24c et 24d étant connectés de la même manière que les
éléments 24a et 24b.
La figure 13 représente une simplification de la
stnzcture de la figure 12, rendue possible si les parties 10a,
lOb et leurs parties dupliquées ont la même fonction logique et
reçoivent les mêmes entrées. Par rapport à la figure 12, le
circuit llb et l'élément 24d ont été omis. Les éléments à
conservation d'état 24a et 24b reçoivent respectivement la sortie
du circuit lla et la sortie du circuit l0a à la place de la
sortie du circuit llb de la figure 12.
La figure 14 représente une application du principe de
la figure 13 pour réaliser une cellule mémoire statique. Les
éléments à conservation d~état 24a, 24b et 24c sont des
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
22
inverseurs à conservation d'état du type de la figure 6A. Les
parties de circuit 10a, lla et lOb sont des inverseurs
classiques. Un inverseur à conservation d'état suivi d'un
inverseur classique ont une fonction identité. Ceci assure que
les éléments 24a, 24b et 24c reçoivent des valeurs d'entrée
identiques, ce qui est aussi valable pour les inverseurs 10a, lla
et lOb.
La cellule mémoire ainsi obtenue est insensible aux
perturbations aussi bien en fonctionnement statique qu'en
fonctionnement dynamique.
La figure 15 représente une variante de la cellule de
la figure 14. En série avec chacun des couples de transistors MOS
à canal P, on a inséré un transistor MOS à canal P commandé par
un signal d'horloge CK. En série avec chacun des couples de
transistors MOS à canal N, on a inséré un transistor MOS à canal
N commandé par le complément du signal d'horloge CK. Ces
transistors suppriment des appels de courant de computation de la
cellule.
Par ailleurs, la figure 15 reprêsente une application
de la stnzcture de la figure 14 à un circuit de vote utilisable
dans les circuits des figures 7A et 8A. Pour cela, par rapport à
la figure 14, on a omis les transistors d'accès. Les trois
signaux d'entrée S1, S2, S3 du circuit de vote sont appliqués aux
entrées des inverseurs.
On obtient ainsi un circuit de vote qui sert à
mémoriser le résultat du vote de manière insensible aux
perturbations. Si on utilise ce circuit de vote dans les figures
7A et 8A, les bascules 70 à 72 qui précèdent le circuit de vote
sont de simples bascules à transparence commandée.
On peut par ailleurs connecter une cellule mémoire
classique à chacune des entrées S1, S2 et S3, commandée par un
signal d'horloge. On forme ainsi une bascule maître-esclave.
Dans la description qui précède, on a considéré le cas
où on utilise des bascules sensibles à des transitions pour
verrouiller les états de sortie d'un circuit logique. La présente
CA 02367151 2001-09-07
WO 00/54410 PCT/FR00/00573
23
invention s'applique également à des bascules sensibles à des
états (à transparence commandée).
