[发明专利]冗余时钟系统

说明书

技术领域

本发明涉及计算机技术领域，特别是涉及一种冗余时钟系统。

背景技术

冗余技术是提高控制系统可靠性的一种非常有效的方法，如何保证冗余系统公共时钟的高可靠性成为设计冗余系统的关键，一般通过设计冗余时钟来解决这个问题。例如文献(1)《The theory and practice of reliable system design》(D.P.Siewiorek，R.S.Swarz.Digital Press，1982：235-249)详细论述了冗余时钟的设计方法。实现冗余时钟主要可分成：模拟方案和全数字方案2类。模拟方案早期应用较多，目前主要以全数字方案为主。全数字方案主要又分成基于锁相或表决技术与基于切换技术2类。

例如文献(2)《An all digital phase locked loop fault tolerant clock》(Van Alen，D.J.；Somani，A.K.；IEEE international symposium；11-14，June 1991：3170-3173)、文献(3)《TMR计算系统中的容错锁相同步时钟电路》(曾戈虹，杨樱华，黄敞.微电子学与计算机.1995(3).6-8)、文献(4)《容错锁相时钟系统与可靠性分析》(孟昭鹏，任长明，靳展.天津大学学报.1998(3).365-369)都详细描述基于锁相或表决技术实现全数字冗余时钟的方法。

中国专利(3)《200510134282.5冗余同步时钟分配系统》、中国专利(4)《200710112741.9一种冗余时钟信号切换电路和方法》、美国专利(5)《Redundant clock system utilizing nonsynchronous oscillators》则详细描述了基于切换技术实现冗余时钟的方法。

通过分析基于切换技术实现冗余时钟的方法，不难发现该方法存在着“自己判断自己错误，或者判断他人错误而切换”的逻辑漏洞。

对于基于锁相或表决技术实现冗余时钟的方法，则存在难于处理的拜占庭故障。由于时钟信号的特殊性，时钟模块一旦出现故障，其故障行为都会表现很复杂，一般将时钟故障模型考虑为拜占庭故障模型。

拜占庭故障模型是指一个时钟模块表现出向其他模块随意发送错误时钟值等任意行为的故障模型。拜占庭故障是一种是最难处理的恶意故障，已经证明：至少要有N＞＝3f+1个模块才能屏蔽住f个拜占庭故障，保证系统输出不受影响，因此最简单的能够容忍一个拜占庭故障的冗余时钟电路至少要采用四模冗余结构。

在传统冗余时钟电路中，由于不能指示出故障的时钟模块，也没有切除故障的时钟模块的机制，会出现“故障的时钟模块的输出虽然被屏蔽，但仍然在向其它模块发送错误信号”的情况，而成为冗余时钟系统的拜占庭故障隐患。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是针对传统实现冗余时钟的方法中存在的“自己判断自己错误，或者判断他人错误而切换”的逻辑漏洞与拜占庭故障，基于故障安全N取M结构(例如2取2)以及并行冗余方法实现高可靠时钟。

(二)技术方案

为解决上述技术问题，提供了一种冗余时钟系统，包括n个时钟模块，每个时钟模块用于输出具有故障安全特征的信号给其它n-1个时钟模块及其自身。

优选地，所述时钟模块包括高频时钟单元和并行冗余处理单元，所述高频时钟单元包括时钟比较器、错误状态锁存器和安全切除逻辑，所述并行冗余处理单元包括时钟表决电路、时钟同步电路、安全比较器和安全切除逻辑。

优选地，所述高频时钟单元基于N取M结构，其中N≥M，M≥2，且N取2、3、4或5。

优选地，所述高频时钟单元基于2取2结构。优选地，所述高频时钟单元设置有：

两组相同且独立的晶振和复位芯片，每个复位芯片同时输出低电平有效和高电平有效的复位信号；其中，低电平有效的复位信号经过与门输出低电平有效的复位信号，高电平有效的复位信号经过或门输出高电平有效的复位信号；

两组时钟比较器，使用晶振时钟信号和N分频器，N分频器的输出送给另一个时钟比较器；以一组晶振时钟信号作为时钟源，测量另一组N分频器的输出是否正确；

两个相同的错误状态锁存器，用于锁住所述时钟比较器输出的错误状态；

安全切除逻辑，其时钟输入来自于晶振时钟信号，或者分频之后的时钟信号。