CN103889785A - 电力安全电路、集成电路器件以及安全关键系统 - Google Patents

Abstract

一种电力安全电路(30)，包括：功率感测端子(32)；输出端子(34)；连接到所述输出端子的输出驱动单元(36)；可连接以从电源(40)接收第一功率并且被布置成向所述输出驱动单元提供所述第一功率的输入端子(38)；以及被布置成检测所述输入端子的状态并且向所述功率感测端子提供功率感测信号的功率检测单元(42)，其中当所述功率感测信号指示所述第一功率的电平低于用于驱动所述输出端子的最小电平的时候，所述功率感测端子被布置成向所述输出驱动单元提供第二功率。集成电路器件(50)包括至少一个电力安全电路(30)。安全关键系统(60)包括具有至少一个电力安全电路(30)和至少一个集成电路器件(50)。

Description

电力安全电路、集成电路器件以及安全关键系统

技术领域

本发明涉及电力安全电路、集成电路器件以及安全关键系统。

背景技术

电子器件通常需要若干可供量电源来正常运行。一些系统，例如，安全关键系统，诸如车辆、或其中的系统，例如汽车安全关键系统，诸如汽车制动系统，可能并不容错，并且可能采用容错或故障安全电路或器件，其在失败的情况下进行响应以便对系统、环境和系统的用户仅造成最低伤害或没有伤害。

为了指定功能安全，例如用于汽车应用，标准是由标准化组织定义的，诸如国际电工委员会(IEC)的IEC61508标准或国际标准化组织的ISO26262功能安全标准。例如，对于安全应用目标汽车安全完整性等级D(ASIL-D)，即，在ISO26262中定义的功能安全的最高级别，安全功能必须得到保证，即使在电源损耗的情况下。在集成电路(IC)中，电源损耗可能例如是由顶杆或粘接断开引起的。

如图1所示，现有技术电力安全电路10可以借助于电源冗余给增加的容错提供解决方案。示出的现有技术电路保护了被处于故障安全机器16中的输出端子驱动电路14驱动的故障安全输出端子12。其中所述输出端子驱动电路14同时通过两个冗余电源端子22、24从第一电源和第二电源18、20被供电，两个电源端子22、24都被连接以给输出端子驱动电路14供电。例如，在美国5745670中，针对电源损耗的电子系统的容错是经由到本地电源和功率分布总线的两个冗余电源连接从两个电源提供功率来实现的。

发明内容

如所附权利要求中所描述的，本发明提供了一种电力安全电路、集成电路器件以及安全关键系统。

本发明的具体实施例在从属权利要求中被阐明。

本发明的这些或其它方面根据下文中描述的实施例将会很明显并且参照下面中描述的实施例被阐述。

附图说明

根据附图，仅仅通过举例的方式，本发明的进一步细节、方面和实施例将被描述。在附图中，类似的附图标记被用于表示相同的或功能相似的元素。附图中的元素为了简便以及清晰而被图示，并且不一定按比例绘制。

图1示意性地示出了现有技术电力安全电路。

图2示意性地示出了电力安全电路的实施例的例子。

图3示意性地示出了安全关键系统的实施例的例子，安全关键系统包括带有电力安全电路的集成电路器件。

具体实施方式

由于本发明说明的实施例可能大部分是使用本领域所属技术人员已知的电子组件和电路被实施，所以不会在比上述所说明的认为有必要的程度大的任何程度上解释细节，以用于对本发明基本概念的理解以及为了不混淆或偏离本发明所教之内容。

参照图2，图2示意性地示出了电力安全电路30的实施例的例子。电力安全电路30包括功率感测端子32、输出端子34、连接到输出端子34的输出驱动单元36、输入端子38以及功率检测单元42，输入端子38可连接以从电源40接收第一功率并且被布置成向所述输出驱动单元36提供所述第一功率，功率检测单元42被布置成检测所述输入端子38的状态并且向所述功率感测端子32提供功率感测信号；其中所述功率感测端子32被布置成：当所述功率感测信号指示所述第一功率的电平低于用于驱动所述输出端子34的最小电平的时候，向所述输出驱动单元36提供第二功率。这可能例如允许重新使用或多次使用功率感测端子32，功率感测端子32专用于功率感测以用于作为“感测和提供”端子向输出驱动单元36提供功率。通常，功率感测端子被用于传输关于给处理装置供电的监视信息，例如，关于在诸如电池的电源处的电压电平的信息。功率感测端子32可以例如被连接到另一个电源44，另一个电源44可以例如是用于将功率感测端子32保持在操作的某一电压电平的低电源。在实施例中，第二或其它电源44可以是相同的电源40。多次使用功率感测端子32可以例如避免了对用于冗余电源连接的附加输入端子38的需要。当在集成电路器件内实现电力安全电路30的时候，例如通过避免附加插脚和增加使用的管芯面积，这可以例如降低成本。

应注意，输出端子34可以指的是至少一个输出端子，即，输出驱动单元36可以被布置成驱动或多个输出端子34中的一个。

在集成电路器件中，例如，端子可以对应于集成电路器件的插脚。电源可以例如是电流源或电压源，诸如电池，例如汽车电池。

信号可以是携载信息的随时间变化的物理量，例如变化的电压电平。功率感测信号可以携带关于输入端子38的状态的信息，例如，关于在输入端子38处接收到的功率，例如对应于在输入端子测量的电压电平或电压电平是低于还是高于与第一功率的最小电平相对应的电压阈值的信息，以便判定是否可以将足够的功率提供给输出驱动单元36以用于驱动输出端子34。功率感测信号可以例如被提供给例如包括电力安全电路30的集成电路器件的评估单元。集成电路器件可以例如是处理装置。

输出驱动电路36和功率检测单元42可以例如被包括在共用电路块或机器46内。

功率感测信号可以由被连接以感测和检测输入端子38的状态的功率检测单元42生成。它可以提供直接与输入端子38的测量状态相对应的功率感测信号，例如，测量的电压电平或电流电平，或可以评估该状态，并将例如关于第一功率的存在与否的过滤后的信息提供为功率感测信号。

第一功率的最低电平可以例如对应于第一功率的不存在，即没有第一功率可以经由输入端子38被接收。这可能是由于，例如，与电源40的断开。在集成电路器件中，这可以例如是由顶杆或从器件封装断开的粘结造成的。被布置成仅仅检测是否有在输入端子38处接收的任何功率的功率检测单元42可以是容易实现的电路。

术语第一功率可以指的是提供给电力安全电路30的主功率，而第二功率可以指的是从功率感测端子32得到的“替代”功率。由于功率感测端子32可以经常通过高阻抗连接接收功率，所以只有少数电流可以从功率感测端子32得到，并且所述第二功率的电平可以是低的。

输出端子34可以是故障安全端子，即，在故障的情况下，使用故障安全输出端子可能会导致最小或无损害，并避免破坏系统、装置或器件的端子。故障安全可以是特别相关的安全相关应用，其中故障可能危及人类用户，例如，汽车司机。

输出驱动单元36可以被布置成在故障安全状态下驱动输出端子34。在故障安全状态下驱动输出端子34例如可以包括将IC的复位插脚下拉至接地电压并在安全模式下激活插脚。使用电力安全电路30，故障安全状态例如可以允许IC的正常关机或开机复位以保护其故障安全插脚。输出驱动单元36可以被布置成当接收第二功率的时候，在故障安全状态下驱动输出端子。换句话说，电力安全电路30可以被布置成提供第二功率足够高的电平，即，高于用于驱动进入故障安全状态的最小功率阈值，以允许输出驱动单元36在故障安全状态下驱动输出端子34。代替功率电平，可以考虑电压电平或电流电平。在故障安全状态下驱动输出端子34可以指的是驱动输出端子进入故障安全状态，以及在故障安全状态下，即在故障安全状态期间。

功率检测单元42可以包括上电复位检测电路。上电复位检测电路可以是被包含在集成电路中的上电复位电路的一部分，被布置成检测应用于集成电路的功率，并生成复位信号以用于将IC带入已知的状态。上电复位电路可以例如在集成电路内是可用的。当电力安全电路30在可用集成电路设计内得以实现的时候，使用上电复位电路以用于被电力安全电路30的功率检测单元42的电源损耗检测可以允许减少附加电路和成本。

输出驱动单元36可以包括输出驱动电路，该输出驱动电路被布置成当接收第一功率的时候驱动输出端子34，并且当接收第二功率的时候，还被修改成驱动输出端子34；或者输出驱动单元36可以包括专用低功率电路(未示出)，该专用低功率电路被布置成当从功率感测端子32接收第二功率的时候驱动输出端子34。代替当接收第一功率的时候修改被布置成驱动输出端子34的现有输出驱动电路，可以提供附加专用低功率电路，该附加专用低功率电路可以适于在诸如故障安全状态的选择模式或状态下驱动输出端子34，这可能不需要提供与在正常操作模式期间相同的功率电平。

第二功率的电平可以例如低于第一功率的电平。当检测到在输入端子38处的第一功率的电平低于用于驱动输出端子34的最低电平的时候，例如，甚至在第一功率的检测电平可能仍然高于第二功率的电平的情况下，输出驱动单元36可以被布置成使用从功率感测端子32接收的第二功率来驱动输出端子34。由于减小的第一功率的电平可以是电路或电源40的故障的指示，所以例如，它可以对于以最安全的方式进入故障安全状态并且不依赖于故障是有用的，虽然尚未失去第一电源。

功率检测单元42可以被布置成控制由功率感测端子32提供的第二功率，即，功率检测单元42可以被布置成控制功率感测端子32和输出驱动单元36之间的连接。

电力安全电路30可以包括切换单元48，切换单元48被布置成根据功率感测信号将功率感测端子32连接到输出驱动单元36。功率感测信号可以被功率检测单元42使用以控制切换单元48，或功率检测单元42可以被布置成从功率感测信号生成专用切换控制信号以用于控制切换单元48。

在实施例中，电力安全电路30可以被布置成在将功率感测端子32连接到输出驱动单元36期间，还将功率感测信号从功率检测单元42提供到功率感测信号。这可以允许评估在任何时间处于电力安全电路30的功率检测单元42外侧的输入端子38的状态，甚至在切换到由功率感测端子32所提供的第二功率之后。

输出端子34可以例如被连接到控制单元(未示出)，该控制单元被布置成根据输入端子38的状态将安全关键系统切换到安全模式。例如，控制单元可以是例如被布置成接通和断开安全关键系统和电源之间的连接的切换电路。仅举一个例子，安全关键系统可以例如是一辆汽车的防抱死制动系统(ABS)并且电源可以是车载电池。

作为另一个例子，输出端子34可以是例如包括电力安全电路30的集成电路器件的复位插脚。

参照图3，图3示意性地示出了安全关键系统60的实施例的例子，其中安全关键系统60包括带有电力安全电路30的集成电路器件50。集成电路器件50可以包括如上所述的至少一个电力安全电路30。集成电路器件50可以例如是处理设备，诸如微处理器、通用处理器(GPP)、微控制器单元(MCU)、多媒体处理器、图形处理单元(GPU)、或数字信号处理器(DSP)，仅举几例。

如图所示，安全关键系统60可以包括如上文所述的至少一个电力安全电路30或至少一个集成电路器件50。

安全关键系统60可以例如是发电厂或车辆的电子器件的一部分。车辆可以例如是汽车、卡车、飞机、船舶、直升机等等。车辆的安全关键系统，即，汽车安全关键系统，例如可以包括发动机控制单元(ECU)。ECU是控制内燃机的操作的各个方面的电子控制单元。安全关键系统也可以在非汽车环境中找到。

汽车安全关键系统例如还可以是汽车安全系统。安全关键系统60可以包括座椅位置控制系统、照明、安全气囊、挡风玻璃刮水器、防盗器、电子恒温空调、制动系统或电动转向系统。制动系统可以包括，例如，防抱死制动系统(ABS)、电子制动力分配系统(EBD)、转弯制动控制(CBC)系统等等。电动转向系统可以包括，例如，电子稳定控制系统(ESC)、牵引力控制系统(TCS)或驱动防滑系统(ASR)、自适应巡航控制(ACC)系统、前方碰撞预警(FCW)系统等等。

图3所示的安全关键系统60可以符合ISO26262功能安全标准。例如，安全关键系统60可以符合汽车安全完整性等级D(ASIL-D)，即，在ISO26262中定义的功能安全的最高级别。这可以指的是完整的安全关键系统60或至少指的是包括在安全关键系统60内的一个或多个电力安全电路30。

在前面的说明中，参照本发明实施例的特定示例已经对本发明进行了描述。然而，将显而易见，在不脱离如所附权利要求中所阐述的本发明的更宽精神及范围的情况下，可在其中做出各种修改和变化。

例如，在此所描述的半导体衬底可以是任何半导体材料或材料的组合，诸如砷化镓、硅锗、硅晶绝缘体(SOI)、硅、单晶硅等等，以及上述的组合。

如在此讨论的连接可以是适于例如经由中间设备传输来自或去往相应的节点、单元或设备的信号的任何类型的连接。因此，除非暗示或另外表明，所述连接例如可以是直接连接或间接连接。所述连接可以被图示或描述为涉及单一连接、多个连接、单向连接、或双向连接。然而，不同实施例可以改变连接的实现。例如，可以使用单独单向连接而不是双向连接，并且反之亦然。而且，多个连接可以被替换为连续地或以时间复用方式传输多个信号的单一连接。同样地，携带多个信号的单一连接可以被分离成携带这些信号的子集的各种不同的连接。因此，存在用于传输信号的许多选项。

本领域所属技术人员将认识到逻辑块之间的界限仅仅是说明性的并且替代实施例可能合并逻辑块或电路元件或在各种逻辑块或电路元件上强加替代的分解功能。因此，应了解本发明描述的架构仅仅是示例性的，并且事实上实现相同功能的很多其它架构可以被实现。例如，功率检测单元42和输出驱动单元36可以作为组合单元被提供。

为了实现相同功能的任何组件的布置是有效地“关联”使得所需的功能得以实现。因此，在此组合以实现特定功能的任何两个元件可以被看作彼此“相关联”使得所需的功能得以实现，而不论架构或中间元件。同样地，如此关联的任何两个组件还可以被认为是彼此被“可操作连接”或“可操作耦合”以实现所需的功能。

此外，本领域所属技术人员将认识到以上描述的操作之间的界限只是说明性的。多个操作可以组合成单一的操作，单一的操作可以分布在附加操作中并且可以至少部分地在时间上重叠地执行操作。而且，替代实施例可以包括特定操作的多个示例，并且操作的顺序在各种其它实施例中可以更改。

又如，在一个实施例中，说明的例子可以被实现为位于单一集成电路上的电路或在相同器件内的电路。例如，集成电路器件50可以包括至少一个电力安全电路30。替代地，所述例子可以被实现为任何数目的单独集成电路或以合适的方式彼此互连的单独器件。例如，集成电路器件50可以作为连接到具有一个或多个电力安全电路30的另一个集成电路的单独集成电路被提供。

又如，例子或其中的一部分可以被实现为物理电路的软或代码表征，或被实现为能够转化成物理电路的逻辑表征，诸如用任何合适类型的硬件描述语言。

而且，本发明不限于在非程序化硬件中实现的物理设备或单元，但也可以应用在可编程的设备或单元中，这些设备或单元通过按照合适的程序代码操作能够执行所期望的设备功能，诸如主机、微型计算机、服务器、工作站、个人计算机、笔记本、个人数字助理、电子游戏、汽车和其它嵌入式系统、手机和各种其它无线设备，在本申请中通常表示为“计算机系统”。

然而，其它修改、变化和替代也是可能的。说明书和附图相应地被认为是从说明性的而不是严格意义上来讲的。

在权利要求中，放置在括号之间的任何参照符号不得被解释为限制权利要求。单词“包括”不排除除了权利要求中列出的那些之外的其它元件或步骤的存在。此外，如在此使用的词语“一”或“一个”被定义为一个或不止一个。而且，即使当同一权利要求包括介绍性短语“一个或多个”或“至少一个”以及诸如“一”或“一个”的不定冠词时，在权利要求中诸如“至少一个”以及“一个或多个”的介绍性短语的使用也不应该被解释成暗示通过不定冠词“一”或“一个”引入的其它权利要求元素将包括这样介绍的权利要求元素的任何特定权利要求限制成仅包含这样的元素的发明。对于定冠词的使用也是如此。除非另有说明，使用诸如“第一”以及“第二”的术语来任意地区分这样的术语描述的元素。因此，这些术语不一定旨在指示这样的元素的时间或其它优先次序。在相互不同的权利要求中记载某些措施的事实并不指示这些措施的组合不能被用于获取优势。

虽然结合特定装置已经描述了本发明的原理，但是应清楚了解到该描述仅仅是通过举例作出而不是对本发明范围的限定。

Claims (15)

1.一种电力安全电路(30)，包括

功率感测端子(32)；

输出端子(34)；

输出驱动单元(36)，所述输出驱动单元(36)连接到所述输出端子；

输入端子(38)，所述输入端子(38)能连接以从电源(40)接收第一功率并且被布置成向所述输出驱动单元提供所述第一功率；以及

功率检测单元(42)，所述功率检测单元(42)被布置成检测所述输入端子的状态并且向所述功率感测端子提供功率感测信号，其中所述功率感测端子被布置成当所述功率感测信号指示所述第一功率的电平低于用于驱动所述输出端子的最小电平的时候，向所述输出驱动单元提供第二功率。

2.根据权利要求1所述的电力安全电路，其中所述最小电平对应于所述第一功率的不存在。

3.根据权利要求1或权利要求2所述的电力安全电路，其中所述输出端子是故障安全端子。

4.根据先前权利要求中的一项所述的电力安全电路，其中所述输出驱动单元被布置成当接收所述第二功率的时候，在故障安全状态下驱动所述输出端子。

5.根据先前权利要求中的一项所述的电力安全电路，其中所述功率检测单元包括上电复位检测电路。

6.根据先前权利要求中的一项所述的电力安全电路，其中所述输出驱动单元包括专用低功率电路，所述专用低功率电路被布置成当从所述功率感测端子接收所述第二功率的时候，驱动所述输出端子。

7.根据先前权利要求中的一项所述的电力安全电路，其中所述第二功率的电平低于所述第一功率的所述电平。

8.根据先前权利要求中的一项所述的电力安全电路，其中所述功率检测单元被布置成控制由所述功率感测端子对所述第二功率的提供。

9.根据先前权利要求中的一项所述的电力安全电路，包括切换单元(48)，所述切换单元被布置成根据所述功率感测信号将所述功率感测端子连接到所述输出驱动单元。

10.根据先前权利要求中的一项所述的电力安全电路，其中所述输出端子被连接到控制单元，所述控制单元被布置成根据所述输入端子的所述状态将安全关键系统切换到安全模式。

11.根据先前权利要求中的一项所述的电力安全电路，其中所述输出端子被连接到高端开关。

12.根据先前权利要求1至9中的一项所述的电力安全电路，其中所述输出端子是复位插脚。

13.一种集成电路器件(50)，包括根据先前权利要求1至12中的一项所述的至少一个电力安全电路(30)。

14.一种安全关键系统(60)，包括根据先前权利要求1至12中的一项所述的至少一个电力安全电路(30)或根据权利要求13所述的至少一个集成电路器件(50)。

15.根据权利要求14所述的安全关键系统，其中所述安全关键系统符合ISO26262功能安全标准。

Images