CN107450003A - 半导体装置、电子控制系统和评估电子控制系统的方法 - Google Patents

Abstract

本发明涉及一种半导体装置、电子控制系统和评估电子控制系统的方法。为了在不向逻辑电路添加新电路的情况下在逻辑电路中生成虚假故障，半导体装置包括多个测试点，其包括测试点触发器，以当触发器保持预定值时将逻辑电路内的目标节点固定到预定逻辑电平。通过顺序耦合多个测试点触发器来配置扫描链。在逻辑电路的正常操作期间，故障注入电路通过生成故障数据并将所生成的故障数据通过扫描链的扫入节点设定到扫描链，将故障注入目标节点。

Description

半导体装置、电子控制系统和评估电子控制系统的方法

相关申请的交叉引用

包括说明书、附图和摘要的在2016年5月30日提交的日本专利申请No.2016-107451的公开内容通过引用整体并入本文。

背景技术

本发明涉及一种半导体装置、电子控制系统和用于评估电子控制系统的方法。例如，本发明涉及功能安全应用于的半导体装置以及包括所述半导体装置的系统。

例如，专利文献1(日本未经审查的专利申请公开号平1(1989)-169640)公开了一种在信息处理装置中生成虚假故障的方法。更具体地，在信息处理装置的正常操作期间，扫描控制单元强制扫描信息处理装置内的特定扫描触发器中的预定数据。此时，地址比较电路通过检测微指令地址寄存器的值与预定地址相匹配来确定扫入操作的定时。然后，解码器电路对预定的扫描地址进行解码以识别作为扫入目标的扫描触发器。

发明内容

例如，随着作为车辆功能安全标准的ISO 26262的出现，越来越多的半导体装置配备有用于检测自身故障的自诊断电路。配置有这样的半导体装置的系统例如被配置为：响应于由自诊断电路检测到故障，根据故障类型或其它信息，通过执行各种安全动作来避免其中出现严重问题的情况。然而，通常，在半导体装置中实际发生故障之前，不能进行对自诊断电路是否正常操作的验证(换句话说，是否检测到故障的验证)。因此，难以在系统开发中进行操作，诸如例如，针对功能安全对系统上的软件进行调试以及功能安全是否正常工作的验证。

因此，例如，可以使用专利文献1中描述的方法来强制地在半导体装置中生成虚假故障。然而，在这种方法中，有必要将用于接受强制扫入操作的电路单独地添加到包括在各种逻辑电路中的扫描触发器中的每一个。以这种方式，向逻辑电路添加新电路可能导致需要重新启动布局设计和各种设计验证过程。

在考虑到这些情况做出以下实施例时，从下面的描述和附图中，本发明的其它目的和新颖特征将变得显而易见。

根据实施例的半导体装置由单个半导体芯片构成。半导体装置包括具有预定功能的逻辑电路、多个测试点、第一扫描链、和故障注入电路。测试点中的每一个都包括测试点触发器。当触发器具有第一值时，测试点将逻辑电路的目标节点固定到预定的逻辑电平。通过顺序耦合多个测试点触发器来配置第一扫描链。通过生成故障数据并将生成的故障数据通过第一扫描链的扫入节点设定到第一扫描链，在逻辑电路的正常操作期间，故障注入电路将故障注入目标节点。

根据上述实施例，可以在不向逻辑电路添加新电路的情况下在逻辑电路中生成虚假故障。

附图说明

图1是示出根据本发明的第一实施例的半导体装置中的主要部分的概略配置示例的电路框图。

图2是示出图1中的故障注入电路的概略配置示例的电路框图；

图3是示出图1中的测试点的配置示例的电路图；

图4是示出与图3所示的配置不同的测试点的配置示例的电路图；

图5是图示图1的半导体装置的操作的示例的流程图；

图6是示出图1的半导体装置的内部波形的示例的波形图，其是图5的补充；

图7是示出根据本发明的第二实施例的半导体装置中的主要部分的概略配置示例的电路框图；

图8是示出图7中的故障注入电路的概略配置示例的电路框图；

图9是图示图7的半导体装置的操作的示例的流程图；

图10是图示图7的半导体装置的内部波形的示例的波形图，其是图9的补充；

图11是示出根据本发明的第三实施例的半导体装置中的主要部分的概略配置示例的电路框图；

图12是示出图11的故障注入电路的概略配置示例的电路框图；

图13是示出图11的半导体装置的操作中的内部波形的示例的波形图；

图14是示出根据本发明的第四实施例的电子控制系统应用于的车辆装置的概略配置示例的图；

图15是示出图14的电子控制系统中的半导体装置的详细配置示例的电路框图；和

图16是图示根据本发明的第四实施例的电子控制系统中的评估方法的示例的流程图。

具体实施方式

在下面描述的实施例中，为了方便起见，当需要时，本发明的详细描述将被分成多个部分或实施例。然而，除非另有说明，否则这些部分或实施例并非彼此不相关，并且其中一个作为另一个的全部或部分的变型、详细描述或补充说明。此外，在下述实施方式中，当引用元件的数量(包括件数、数值、量、范围等)时，除非另有说明，元件的数量不限于特定数量，或者是原则上明确限于具体数量。元素的数量可以大于或小于指定的数量。

此外，在下面描述的实施例中，不言而喻，除非另有说明，或除非原则上应该明确地需要它们，否则部件(包括操作步骤等)不一定是必需的。类似地，在下面描述的实施例中，当参考形状、位置关系或部件的其它特性时，包括与形状或其它特性基本接近或相似的那些，除非另有说明，或者除非原则上它们被清楚地视为不是如此。元素的数量和范围也是如此。

在下文中，将参照附图详细描述本发明的优选实施例。注意，在用于描述实施例的所有附图中，相同的部分基本上由相同的附图标记表示，并且将省略其重复的描述。

第一实施例

<半导体装置配置>

图1是示出根据本发明的第一实施例的半导体装置中的主要部分的概略配置示例的电路框图。半导体装置DEV包括单个半导体芯片，包括具有预定功能的逻辑电路LGC、批量生产测试图案生成电路TPG、扫描链(在本说明书中称为TP链)SC1、故障注入电路ERINC1和选择电路SEL1。

逻辑电路LGC通过在保持多个触发器FF1至FFn中的值的同时执行正常操作来实现预定功能。逻辑电路LGC具有通过顺序组合触发器FF1至FFn而配置的扫描链(在本说明书中称为FF链)SC2，作为测试设计(DFT)功能之一。FF链SC2设有扫入节点SI2和扫出节点SO2。在本说明书中，触发器FF1至FFn统称为触发器FF。

TP链SC1包括多个测试点TP1至TPm。在本说明书中，将试验点TP1至TPm统称为试验点TP。虽然稍后将描述细节，但是测试点TP包括测试点触发器。当测试点触发器保持预定值时，测试点TP将逻辑电路LGC内的目标节点固定到预定逻辑电平(“0”或“1”电平)。通过顺序组合包含在测试点TP1至TPm中的每一个中的测试点触发器来配置TP链SC1。TP链SC1设有扫入节点SI1和扫出节点SO1。

通常，作为另一个DFT功能，包括逻辑电路LGC的半导体装置DEV具有插入多个测试点TP的称为测试点插入(TPI)的功能。测试点TP可以由DFT工具自动生成，或者可以由电路设计者或其他人任意插入。通常提供测试点TP以添加半导体装置DEV的批量生产中逻辑电路LGC的故障检测率。在半导体装置DEV(逻辑电路LGC)的正常操作中，绝不使用测试点TP。

批量生产测试图案生成电路TPG生成用于批量生产TPATa和TPATb的测试图案。批量生产测试图案生成电路TPG通过向FF链SC2的扫入节点SI2输出批量生产测试图案TPATa，并通过向TP链SC1的扫入节点SI1输出批量生产测试图案TPATb，执行逻辑电路LGC的扫描测试。通常，批量生产测试图案生成电路TPG包括用于压缩扫描测试的各种电路，或包括用于逻辑内置自测(BIST)的各种电路等。

作为典型的扫描测试方法，批量生产测试图案生成电路TPG通过将批量生产测试图案TPATb设定到TP链SC1来将逻辑电路LGC的目标节点固定到预定逻辑电平。在这种状态下，批量生产测试图案生成电路TPG扫描FF链SC2中的批量生产测试图案TPATa。接下来，批量生产测试图案生成电路TPG通过捕获来操作逻辑电路LGC内的组合电路(未示出)。然后，批量生产测试图案生成电路TPG扫出FF链SC2的值。以这种方式，例如，尽管通常难以将其固定在预定逻辑电平，但是在目标节点固定在预定逻辑电平的状态下可以执行测试。

注意，半导体装置DEV不必须包括批量生产测试图案生成电路TPG。换句话说，在一些情况下，批量生产测试图案TPATa和TPATb可以由设定在半导体装置DEV的外部的自动测试设备(ATE)而不是由批量生产测试图案生成电路TPG生成。在这种情况下，ATE通过串行接口(诸如例如，半导体装置DEV具有的联合测试动作组(JTAG))访问每个扫描链。

故障注入电路ERINC1通过生成故障数据ERDT并且将故障数据ERDT通过TP链SC1的扫入节点SI1设定到TP链SC1，而在逻辑电路LGC的正常操作期间将故障注入逻辑电路LGC内的目标节点。这里，故障注入使能信号EREN以及故障注入地址ERADR被输入到故障注入电路ERINC1。然后，故障注入电路ERINC1输出故障数据ERDT、选择信号SS1、TP使能信号TPE、TP扫描使能信号TPSE和时钟信号CLK。

这里，尽管未示出，TP使能信号TPE、TP扫描使能信号TPSE和时钟信号CLK耦合到相应的测试点TP1至TPm。TP扫描使能信号TPSE仅耦合到测试点TP，并且独立于耦合到逻辑电路LGC内的FF链SC2的扫描使能信号进行控制。

当向输入节点N10输入批量生产测试图案TPATb并将故障数据ERDT输入到输入节点N11时，选择电路SEL1选择输入节点N10或N11中的一个以耦合到扫入节点SI1。以这种方式，故障数据ERDT或执行逻辑电路LGC的扫描测试的批量生产测试图案TPATb中的任一个被输入到扫入节点SI1。故障注入电路ERINC1控制选择电路SEL1，以通过选择信号SS1选择输入节点N11。

如上所述，图1所示的半导体装置DEV的主要特征在于独立于FF链SC2提供TP链SC1，并且提供故障注入电路ERINC1。通常，FF链SC2内的每个触发器FF和TP链SC1内的每个测试点TP可以集成到公共扫描链中，但在这里是在这两个扫描链中分别提供。

该配置允许故障注入电路ERINC1独立于逻辑电路LGC来控制TP链SC1，并且在逻辑电路LGC的正常操作期间将故障注入逻辑电路LGC。换句话说，半导体装置DEV可以通过重用通常仅在批量生产中使用的测试点TP(例如，当半导体装置DEV已经运出时在批量生产之后)生成虚假故障。

注意，故障注入电路ERINC1期望地设置在半导体装置DEV内，但是在某些情况下可以设置在半导体装置DEV的外部。此外，例如也可以将批量生产试验图案生成电路TPG和故障注入电路ERINC1集成到一个电路块中，使得电路块根据预定的选择信号选择性地将批量生产测试图案TPATb或故障数据ERDT输出到扫入节点SI1中。在这种情况下，电路块具有选择电路SEL1的等效功能。

<故障注入电路配置>

图2是示出图1所示的故障注入电路ERINC1的概略配置示例的电路框图。图2中的故障注入电路ERINC1包括序列控制电路CTR1、初始化电路INITC、时钟控制电路CKCT和定时器电路TMR。定时器电路TMR在断言故障注入使能信号时开始计数操作。然后，在经过预定时间之后，定时器电路TMR断言定时器届满信号TUP。预定时间可以是固定值或可以从故障注入电路ERINC1的外部设定的可变值。此外，尽管稍后将描述细节，但是定时器电路TMR用于延迟故障注入的定时。如果不需要，则半导体装置可以被配置为将故障注入使能信号EREN直接输入到序列控制电路CTR1。

序列控制电路CTR1在断言定时器届满信号TUP时开始操作。序列控制电路CTR1将选择信号SS1输出到选择电路SEL1。同时，序列控制电路向TP链SC1输出TP使能信号TPE和TP扫描使能信号TPSE。此外，序列控制电路CTR1将初始化开始信号STR输出到初始化电路INITC，并将时钟使能信号CKE输出到时钟控制电路CKCT。

初始化电路INITC响应于来自序列控制电路CTR1的初始化开始信号STR开始操作。初始化电路INITC生成故障数据ERDT，以基于故障注入地址ERADR向目标节点注入故障。然后，初始化电路INITC将故障数据ERDT串行地输出到选择电路SEL1。此外，当完成所有故障数据ERDT的输出(即，当完成将故障数据ERDT设定到TP链SC1)时，初始化电路INITC向序列控制电路CTR1输出初始化完成信号ED。时钟控制电路CKCT在来自序列控制电路CTR1的时钟使能信号CKE的断言期间生成时钟信号CLK(或者在否定期间停止生成时钟信号CLK)。然后，时钟控制电路CKCT将生成的时钟信号CLK提供给TP链SC1。

<测试点配置>

图3是示出图1所示的测试点TP的配置示例的电路图。图4是示出与图3的配置不同的测试点TP的配置示例的电路图。图3所示的测试点TPk是用于通过插入到信号路径中的与(AND)门AD10将逻辑电路LGC内的信号路径(节点N1a、N1b之间)的目标节点N1b固定到“0”的电路。测试点TPk具有测试点触发器TPFF、选择电路SEL10和与非(NAND)门ND10。

测试点触发器TPFF与TP扫描使能信号CLK同步地锁存选择电路SEL10的输出。在TP扫描使能信号TPSE的断言期间(这里为“1”)，选择电路SEL10从前一测试点TPk-1(或更具体地，从测试点TPk-1的测试点触发器TPFF)发送输出值。然后，选择电路SEL10在TP扫描使能信号TPSE(这里为“0”)的否定期间返回自身级的测试点触发器TPFF的输出。与非门ND10在TP使能信号TPE和测试点触发器TPFF的输出之间执行逻辑运算。

与(AND)门AD10被配置为使得两个输入中的一个耦合到节点N1a，将与非(NAND)门10的计算结果输入到另一个输入，并且输出耦合到节点N1b。当测试点触发器TPFF的值为“1”并且在TP使能信号TPE的断言期间(这里为“1”)，与非门ND10的计算结果为“0”。在这种情况下，无论节点N1a的逻辑电平如何，节点N1b固定到“0”。另一方面，当测试点触发器TPEE的值为“0”时或者在TP使能信号TPE的否定期间(这里为“0”)，节点N1b的逻辑电平等于逻辑节点N1a的逻辑电平。

图4所示的测试点TPj是通过插入信号路径的或(OR)门OR20将逻辑电路LGC1内的信号路径(在节点N2a和N2b之间)的目标节点N2b固定到“1”的电路。测试点TPj具有测试点触发器TPFF、选择电路SEL20、和与门AD20。换句话说，在图4中，提供与门AD20而不是与非门ND10，并且提供或门OR20而不是与门AD10。以这种方式，类似于图3的情况，当测试点触发器TPFF的值为“1”并且在TP使能信号TPE的断言期间，节点N2b固定到“1”而与节点N2a的逻辑电平无关。否则，节点N2b的逻辑电平等于节点N2a的逻辑电平。

注意，测试点TP不特别限于图3和图4所示的配置。例如，测试点TP可以被配置为使得在TP扫描使能信号TPSFE的否定期间将预定的固定值代替其自身值输入到测试点触发器TPFF。此外，也可以将前一级的测试点触发器TPFF的输出值直接输入到其自身级的测试点触发器TPFF，而不提供选择电路SEL10和SEL20。已知各种其它配置作为测试点TP并且可以相应地应用。

<半导体装置操作>

图5是示出图1所示的半导体装置的操作的示例的流程图。图6是示出图1所示的半导体装置的内部波形的示例的波形图。在图5中，当半导体装置DEV通电时，故障注入电路ERINC1和主要由逻辑电路LGC组成的半导体装置的主体(称为装置主体)彼此独立地操作。在通电之后，通过预定的激活过程(例如，引导程序的执行等)(步骤S201)，装置主体执行正常操作(步骤S202)。

尽管图1中未示出，但是装置主体还包括功能安全电路(或自诊断电路)。当在装置主体的正常操作期间在逻辑电路LGC或其它部件中发生故障时，功能安全电路检测到故障(步骤S203)，并且还向装置的外部执行诸如错误通知的操作，以及在装置内执行预定错误处理(步骤S204)。错误处理例如包括检测到故障的部分(逻辑电路LGC等)的内部复位，但没有特别限定于此。

故障注入电路ERINC1确定在通电之后故障注入使能信号EREN是否被断言或否定(步骤S101)。当故障注入使能信号EREN被否定时，故障注入电路ERINC1不开始故障注入操作，并且实际什么也不做。另一方面，当故障注入使能信号EREN被断言时，故障注入电路ERINC1开始故障注入操作并接收故障注入地址ERADR(步骤S102)。这里，例如，用于确定故障注入使能信号EREN和故障注入地址ERADR的方法如下：在通电之后立即确定半导体装置DEV的外部输入；和通过使用包括在半导体装置DEV中的非易失性存储器在装置内自动确定。这里，描述假定使用后一种方法。

在后一种方法中，例如，预先在其中可以从半导体装置DEV的外部写入任意值的非易失性存储器中提供用于存储确定是否执行故障注入的故障注入标志以及故障注入地址ERADR的存储器区域。当想要操作故障注入电路ERINC1时，用户预先将故障注入标志和故障注入地址ERADR写入非易失性存储器。

在这种状态下，半导体装置DEV通电。然后，半导体装置DEV在图6的时段T0中执行引导程序。然后，半导体装置DEV读取引导程序中的故障注入标志的存储器区域。当故障注入标志被写入存储器区域时，半导体装置DEV还读取故障注入地址ERADR，并将故障注入地址ERADR输出到故障注入电路ERINC1。同时，半导体装置DEV断言故障注入使能信号EREN。响应于此，故障注入电路ERINC1开始故障注入操作。

另一方面，当故障注入标志未被写入存储器区域时，半导体装置DEV保持故障注入使能信号EREN为否定，使得故障注入电路ERINC1不开始故障注入操作。以这种方式，当故障注入标志被存储在非易失性存储器的预定存储器区域中时，故障注入电路ERINC1操作，并且当故障注入标志未被存储在特定存储器区域中时，故障注入电路ERINC1不操作。

当故障注入使能信号EREN被断言时，故障注入电路ERINC1接收故障注入地址ERADR(步骤S102)，同时开始定时器电路TMR，如图6的时段T1所示，并等待经过预定时间(步骤S103)。预定时间是例如直到装置主体到达正常操作的等待时间(步骤S202)。

当经过预定时间时，定时器电路TMR断言定时器届满信号TUP。响应于此，序列控制电路CTR1断言初始化开始信号STR和TP扫描使能信号TPSE，如图6中的时段T1至时段T2所示。同时，序列控制电路CTR1通过选择信号SS1将初始化电路INITC的输出耦合到扫入节点SI1。此外，序列控制电路CTR1也断言时钟使能信号CKE。

响应于初始化开始信号STR的断言，初始化电路INITC初始化TP链SC1(步骤S104)。此外，响应于时钟使能信号CKE的断言，时钟控制电路CKCT将用于初始化的时钟信号CLK提供给TP链SC1，如图6中的时段T2所示。

在步骤S104中，初始化电路INITC首先生成故障数据ERDT。故障数据ERDT是与测试点TP数量的长度相同的位串(图1的示例中，m位)，其中将“1”设定到特定一位，并且将“0”设定到剩下的位。由故障注入地址ERADR确定该特定一位。接下来，如图6中的时段T2所示，初始化电路INITC在TP链SC1中将所生成的故障数据ERDT逐位移位。当移入操作完成时，初始化电路INITC断言初始化完成信号ED。

如上所述，初始化电路INITC生成故障数据ERDT，使得测试点触发器TPFF中的一个保持“1”，并将故障数据ERDT设定到测试点触发器TPFF。结果，建立了其中将“1”设定到测试点触发器TPFF中的仅一个触发器和将“0”设定到剩余的触发器的状态。

响应于初始化完成信号ED的断言，序列控制电路CTR1否定时钟使能信号CKE。响应于此，时钟控制电路CKCT停止时钟信号CLK的提供，如图6中的时段T2至T3所示(步骤S105)。结果，设定到测试点TP的故障数据ERDT被固定。然后，序列控制电路CTR1通过断言TP使能信号TPE开始故障注入，如图6中从T2到T3的时段所示(步骤S106)。换句话说，将“0”或“1”的堆栈故障注入测试点TP的目标节点，其中将“1”设定到测试点触发器TPFF。

图6是具有故障注入的两个目标节点(换句话说，测试点TP的数量为2)的示例。该图示意性地示出了其中将故障注入目标节点[1]和[2]中的任一个节点(这里是目标节点[1])的状态。在该示例中，目标节点具有“0”时处于正常状态，以及具有“1”时处于故障状态。在图5的步骤S203和S204中，功能安全电路检测到目标节点[1]的故障，并输出错误输出信号，如图6中从T3到T4的时段所示。

<第一实施例的主要优点>

如上所述，第一实施例通过使用测试点TP在批量生产之后实现向半导体装置(逻辑电路LGC)的故障注入，其被提供为用于批量生产的DFT功能之一，以允许也在批量生产之后驱动特定测试点TP的控制信号。利用这种配置，可以在不向逻辑电路LGC添加附加电路的情况下在逻辑电路LGC中生成虚假故障。

作为比较示例，专利文献1的方法例如是通过向图1所示的FF链SC2添加预定电路而在特定的触发器FF中生成虚假故障的方法。在这种情况下，有必要向逻辑电路LGC添加附加电路，使得可能会出现需要重新启动布局设计和各种类型的设计验证。另一方面，在第一实施例中，不特别需要向逻辑电路LGC添加电路，因此可以避免这样的问题。

此外，在专利文献1的方法中，除了FF链SC2之外，还有必要将监视程序计数器的值的电路、解码器电路或其它电路添加到逻辑电路LGC(诸如处理器)。在这种情况下，不适于需要具有相同配置的多个电路(诸如锁定步骤双核)的情况。

当将该电路仅添加到人为注入故障的主核时，主核的电路系统和布局与检查核的电路系统和布局不同，使得可能无法实现锁定步骤双核的预期目的。另一方面，当将电路添加到主核和检查核两者时，将故障注入两个核。因此，可能无法实现希望将故障仅注入主核的目的。第一实施例的方法可以通过将故障数据ERDT设定到主核的TP链SC1而容易地将故障仅注入主核。

此外，第一实施例的方法使用退出测试点TP，使得可以通过少量的电路开销来实现向大量逻辑电路LGC的故障注入。注意，图5和图6中所示的操作可以再现持续的故障。换句话说，可以再现其中一个特定目标节点始终固定到“0”或“1”的状态。以这种方式，功能安全性应用于的半导体装置以及配备有半导体装置的系统可以验证在持续故障的事件中功能安全是否正常操作(诸如例如，半导体装置和系统是否可以避免发生系统故障或其它误动)。此外，可以在系统开发中进行验证，诸如例如，在适当地注入故障的同时，调试与系统上的功能安全相关联的软件。

第二实施例

<半导体装置配置(变型)>

图7是示出根据本发明的第二实施例的半导体装置中的主要部分的概略配置示例的电路框图。图7的半导体装置DEV与图1的配置示例相比有以下两点不同。第一点是故障注入电路ERINC2的内部配置与图1的故障注入电路不同，并且第二点是TP链SC1的扫出节点SO1耦合到故障注入电路ERINC2。故障注入电路ERINC2输出不同于图1中的情况的故障数据ERDT2。

<故障注入电路配置(变型)>

图8是示出图7中的故障注入电路的概略配置示例的电路框图。图8所示的故障注入电路ERINC2与图2的配置示例相比有以下两点不同。第一点是附加提供选择电路SEL2，并且第二点是由于添加了选择电路SEL2而使序列控制电路CTR2的配置和操作不同。

选择电路SEL2被配置为使得来自初始化电路INITC的故障数据ERDT被输入到输入节点N20，并且TP链SC1的扫出节点SO1耦合到输入节点N21。选择电路SEL2选择输入节点N20或输入节点N21，然后耦合到选择电路SEL1的输入节点N11。除了各种信号(STR、SS1、TPE、TPSE、CKE)之外，序列控制电路CTR2输出选择电路SEL2的选择信号SS2，与图2的情况类似。

<半导体装置配置(变型)>

图9是图示图7中所示的半导体装置的操作的示例的流程图。图10是图示图7的半导体装置的内部波形的示例的波形图，其是图9的补充。首先，图8的故障注入电路ERINC2通常控制选择电路SEL2来选择输入节点N20。然后，与第一实施例的情况类似，故障注入电路ERINC2生成并设定故障数据ERDT，使得测试点触发器TPFF中的一个保持“1”。接下来，故障注入电路ERINC2通过控制选择电路SEL2选择输入节点N21，并且通过在移位TP链SC1进行扫描时允许保持“1”的测试点触发器进行循环，在改变目标节点时生成故障数据ERDT2以注入故障。

更具体地说，在图9中，装置主体的处理内容(步骤S201至S204)以及直到故障注入电路ERINC2中的TP链SC1的初始化之前的处理内容与图5的情况中的那些相同。另外，在图10中，直到TP链SC1的初始化之前的时段中(在从T0到T2的时段中)的波形与图6的情况相同。

在图9中，序列控制电路CTR2从初始化电路INITC接收到初始化完成信号ED的断言(步骤S104)。响应于该断言，序列控制电路CTR2执行步骤S301的处理。在步骤S301中，序列控制电路CTR2维持时钟使能信号CKE的断言，并且控制TP链SC1的扫出节点SO1耦合到扫入节点SC1。换句话说，序列控制电路CTR2使TP链SC1成环。

接下来，当序列控制电路CTR2断言TP使能信号TPE时，故障注入电路ERINC2在通过移位TP链SC1进行扫描时开始故障注入(步骤S302)。更具体地，故障注入电路ERINC2结合时钟信号CLK将具有“1”设定到测试点触发器TPFF的测试点TP(换句话说，激活的测试点TP)顺序地移动到后续级。此外，由于TP链SC1成环，因此激活的测试点TP围绕TP链SC1循环。响应于此，故障注入的目标节点也循环地移动。

图10是具有故障注入的两个目标节点(换句话说，测试点TP的数量为2)的示例。该图示意性地示出了其中故障循环地注入目标节点[1]和[2]的状态。在该示例中，目标节点的数量是2，使得结合时钟信号CLK，在目标节点[1]和[2]中交替地切换正常状态(这里为“0”)和故障状态(这里为“1”)，如时段T3a和T4a中所示。在图9中的步骤S203和S204中，功能安全电路检测目标节点[1]和[2]中的故障，并输出错误信号，如图10中从T3a至T4a的时段所示。

<第二实施例的主要优点>

如上所述，与第一实施例的方法不同，第二实施例的方法连续地生成间歇故障，即其中在改变目标节点时目标节点一度进入故障状态然后返回到正常状态的暂态故障。以这种方式，除了第一实施例中描述的各种优点之外，功能安全应用于的半导体装置以及配备有该半导体装置的系统可以验证在间歇故障的事件中功能安全是否正常操作(诸如例如，半导体装置和系统是否可以避免系统故障或其它误动)。注意，由于这种间歇故障可能在故障出现为系统故障之前返回到正常状态，所以该方法在改变目标节点时连续生成故障以便促进故障的生成。

第三实施例

<半导体装置配置(应用示例)>

图11是示出根据本发明的第三实施例的半导体装置中的主要部分的概略配置示例的电路框图。与图7的配置示例相比，图11所示的半导体装置DEV不同之处在于故障注入电路ERINC3的内部配置。故障注入条件ERCND输入到故障注入电路ERINC3，以可变地设定故障注入时段和故障注入间隔。

<故障注入电路配置(应用示例)>

图12是示出图11所示的故障注入电路ERINC3的概略配置示例的电路框图。与图8的配置示例相比，图12所示的故障注入电路ERINC3的不同之处在于添加了TP使能控制电路TPECT。响应于来自序列控制电路CTR2的TP使能信号TPE的断言，TP使能控制电路TPECT将其脉冲宽度和脉冲间隔根据故障注入条件ERCND调整的TP使能信号TPE2输出到TP链SC1。以这种方式，TP使能控制电路TPECT在改变目标节点时确定其中在故障注入中注入故障的时段以及其中根据设定注入故障的间隔。

<半导体装置操作(应用示例)>

图13是示出图11所示的半导体装置的操作中的内部波形的示例的波形图。在图13中，在从T10到T12的时段中，执行与图10中从T0到T2的时段基本相同的处理。然而，在时段T10中，除了故障注入地址ERADR之外，故障注入条件ERCND输入到故障注入电路ERINC3。以与先前描述的故障注入地址ERADR的情况相同的方式输入故障注入条件ERCND。换句话说，可以使用诸如在上电之后外部输入条件、或者在上电之后读取预先写入非易失性存储器的预定存储器区域的故障注入条件ERCND的方法。

在图13中的时段T13和T14中，TP使能控制电路TPECT生成具有与图10中的时段T3a和T4a中的波形不同的波形TP使能信号TPE2。在该示例中，TP使能控制电路TPECT在预定时间时段期间每时钟信号CLK的循环断言TP使能信号TPE2。根据故障注入条件ERCND而设定循环数量和预定时间时段。虽然没有特别限制于此，但是例如TP使能控制电路TPECT包括对循环数量进行计数的计数器以及响应于计数器的输出生成具有预定脉冲宽度的单触发脉冲的脉冲生成电路。

通过使用这样的TP使能信号TPE2，可以在移动故障注入的目标节点的同时(与图10的情况类似)，确定每个故障的生成时段(与图10的情况不同)。此外，可以设定其中在移动之间不发生故障的时段。换句话说，如图3和图4所示，测试点TP在TP使能信号TPE2的断言期间在目标节点中生成具有“0”或“1”的堆栈故障，并且在TP使能信号TPE2的否定时段期间不生成堆栈故障。

<第三实施例的主要优点>

如上所述，与第二实施例的方法相比，第三实施例的方法进一步控制其中注入故障的时段以及其中注入故障的间隔。因此，在第三实施例中，除了在第一和第二实施例中描述的各种优点之外，功能安全性应用于的半导体装置以及配备有该半导体装置的系统可以验证在意外故障的事件中功能安全是否正常操作(诸如例如，半导体装置和系统是否可以避免系统故障或其它误动)。意外故障是例如由于阿尔法射线和噪声的影响而偶然发生的暂时故障。

注意，这里，将TP使能控制电路TPET添加到图8的配置示例。类似地，也可以将TP使能控制电路TPECT添加到图2的配置示例。在这种情况下，TP使能控制电路TPECT基于故障注入条件来控制其中注入故障的时段。结果，尽管在图6中的时段T3和T4中故障注入的目标节点[1]始终处于故障状态，但是可以基于故障注入条件来控制这种故障状态的时段。

第四实施例

<电子控制系统的配置>

图14是示出根据本发明的第四实施例的电子控制系统应用于的车辆装置的概略配置示例的图。通常，图14所示的车辆装置VH 14是汽车或其它车辆。车辆装置VH包括电子控制系统ECU和对应于诸如发动机和制动器的各种致动器的驱动机构ACR。电子控制系统ECU包括例如半导体装置DEV、其上安装有另一装置SDEV的布线基板等。将在第一至第三实施例中描述的配置应用于半导体装置DEV。

图14所示的半导体装置DEV通常包括逻辑电路LGC、TP链SC1、故障注入电路ERINC、功能安全电路FSC、以及诸如闪存的非易失性存储器ROM。在正常操作中，驱动机构ACR基于来自半导体装置(或更具体地，来自其逻辑电路LGC)的控制信号MCTL执行预定操作，以运行车辆装置VH。另一方面，当在逻辑电路LGC中发生故障时，功能安全电路FSC检测到故障，并将例如包括错误内容或其它信息的错误通知EO发送到另一装置SDEV。

在接收到错误通知EO时，例如，另一装置SDEV向半导体装置(或更具体地，向其逻辑电路)发出复位请求RQ。同时，另一装置SDEV将包括控制切换指令的控制信号SCTL输出到驱动机构ACR。基于来自另一装置SDEV的控制信号SCTL，驱动机构ACR基于来自半导体装置DEV的控制信号MCTL停止操作，而且替代地基于控制信号SCTL执行操作。此时，虽然没有特别限定于此，另一装置SDEV根据错误通知EO中包含的错误内容等，输出控制信号SCTL以继续运行车辆装置VH，或输出控制信号SCTL以安全地停止车辆装置VH。以这种方式，当半导体装置DEV中发生故障时，电子控制系统ECU执行与功能安全相关的预定操作。

图15是示出图14所示的电子控制系统中的半导体装置的配置示例的详细电路框图。例如，微控制器MCU通常作为半导体装置DEV安装在用于车辆的电子控制系统ECU上。微控制器MCU例如包括多个逻辑电路LGC1至LCG3、易失性存储器RAM、非易失性存储器ROM等，所有这些都由内部总线BS耦合，如图15所示。

在该示例中，逻辑电路LGC1和LGC2两者都是具有相同电路配置的处理器核，其形成由主核和检查核组成的锁定步骤双核MPU。锁定步骤双核MPU包括故障检测电路ERDET1，其通过比较主核和检查核的输出来检测主核的故障。易失性存储器RAM包括故障检测电路ERDET2，其检测错误检查和校正(ECC)错误或其它类型的错误。此外，逻辑电路LGC3包括通过预定方法检测故障的故障检测电路ERDET3。尽管没有特别限于此，但是逻辑电路LGC3对应于各种加速器电路、各种通信接口电路等。

图15的微控制器MCU还包括多个TP链SC1a、SC1b和SC1c，功能安全电路FSC和故障注入电路ERINC。TP链SC1a、SC1b和SC1c分别对应于逻辑电路LGC1、LGC2和LGC3。故障注入电路ERINC分别耦合到TP链SC1a、SC1b、SC1c的扫入节点SI1a、SI1b、SI1c以及到TP链SC1a、SC1b、SC1c的扫出节点SO1a、SO1b、SO1c。功能安全电路FSC从故障检测电路ERDET1至ERDET3接收故障检测信号ED1至ED3，并且将错误通知EO发送到外部。此外，功能安全电路FSC响应于故障检测信号ED1至ED3执行发出内部复位信号或其它操作。

<电子控制系统的评估方法>

图16是示出根据本发明的第四实施例的电子控制系统中的评估方法的示例的流程图。在图16中，首先，该方法允许半导体装置DEV1(或更具体地，其逻辑电路LGC)执行正常操作(步骤S401)。接下来，该方法在逻辑电路LGC的正常操作期间通过扫入节点将故障数据设定到TP链SC1以向逻辑电路LGC内的目标节点注入故障(步骤S402)。然后，该方法在注入故障之后验证电子控制系统ECU的行为(步骤S403)。更具体地，例如，该方法验证另一装置SDEV是否如其设计的那样操作。

这里，在步骤S402中，例如，在图15中，通过选择其中设定了故障数据的TP链SC1a、SC1b或SC1c，可以适当地选择逻辑电路LGC1、LGC2或LGC3作为故障注入目的地。此外，在图14和图15的示例中，在半导体装置DEV内设置故障注入电路ERINC。然而，在某些情况下，也可以在半导体装置DEV的外部(例如，在电子控制系统的布线基板上或外部测试装置中)设置故障注入电路ERINC。

在这种情况下，例如，半导体装置DEV被配置为使得外部故障注入电路可以通过JTAG接口或半导体装置DEV的其它装置访问TP链SC1的扫入节点SI1。然而，在这种情况下，存在关于电子控制系统ECU的评估者或其他人的负担增加、通过允许从外部直接访问TP链SC1引起的安全降低、或其它缺点的担心。因此，从该观点出发，希望将故障注入电路ERINC安装在半导体装置DEV内。

下面将详细描述图16中的步骤S401和S402，关注其中故障注入电路ERINC安装在半导体装置DEV内的情况。首先，在其中车辆装置VH停止的状态下，评估者或其他人将信息处理设备EQ耦合到半导体装置DEV的外部接口IF，并且执行预先存储在信息处理设备EQ中的故障注入功能激活程序ERIPRG。

故障注入功能激活程序ERIPRG是重写半导体装置DEV的非易失性存储器RON的程序。使用该程序，评估者或其他人可以将故障注入使能信号EREN所基于的故障注入标志、故障地址ERADR和故障注入条件ERCND写入到非易失性存储器ROM的预定存储器区域中，如在第一至第三实施例中所述的。例如，当使用图15所示的微控制器MCU时，可以选择TP链SC1a、SC1b或SC1c，并通过使用故障注入地址ERADR来选择所选择的TP链内的测试点TP。

接下来，评估者或其他人照常使驾驶车辆VH通电，以允许车辆装置VH和电子控制系统ECU执行正常操作。响应于此，例如，图15所示的锁定步骤双核MPU执行非易失性存储器ROM上的引导程序，在引导程序中断言故障注入使能信号EREN，并且将故障注入地址ERADR和故障注入条件ERCND输出到故障注入电路ERINC。

然后，锁定步骤双核MPU通过引导程序继续正常操作，并执行在非易失性存储器ROM上的主体程序等(步骤S401)。另一方面，故障注入电路ERINC独立于这样的主体程序的执行而操作。如在第一至第三实施例中所述的，故障注入电路ERINC在作为故障注入目的地的逻辑电路LGC的正常操作期间通过TP链SC1向逻辑电路LGC的目标节点注入故障(步骤S402)。

使用该配置，能够允许评估者或其他人容易地评估功能安全应用于的电子控制系统ECU以及车辆装置VH，而不增加评估者或其他人的负担。类似地，可以允许电子控制系统ECU的开发者或其他人在注入故障的同时容易地调试程序(诸如半导体装置DEV的主体程序和另一装置SDEV的主体程序)。

已经基于实施例详细描述了本发明人所做出的发明。然而，本发明不限于前述实施例，并且在不脱离如所附权利要求所限定的本发明的范围的情况下可以进行各种修改。例如，为了更好地理解本发明，已经详细描述了示例性实施例，并且本发明不一定限于具有上述所有配置的那些。此外，可以使用任何其它实施例的配置替换实施例的一部分配置，并且可以将实施例的配置添加到任何其它实施例的配置。此外，允许在每个实施例的一部分配置上执行其它配置的添加、删除或替换。

这里，描述了用于车辆的电子控制系统作为示例，但本发明不限于此示例。例如，本发明也可以应用于需要相对高安全的各种类型工业设备的系统。此外，这里，使用故障注入使能信号EREN以及定时器电路TMR作为用于确定故障注入定时的方法。然而，该方法可以相应地被改变为其它方法，诸如例如使用来自半导体装置DEV的外部的触发信号。

Claims (20)

1.一种半导体装置，所述半导体装置由单个半导体芯片构成，所述半导体装置包括：

逻辑电路，所述逻辑电路具有预定功能；

多个测试点，所述测试点包括测试点触发器，并且当所述测试点触发器保持第一值时，所述测试点将所述逻辑电路内的目标节点固定到预定逻辑电平；

第一扫描链，所述第一扫描链是通过将所述测试点触发器中的每一个测试点触发器顺序耦合来配置的；以及

故障注入电路，所述故障注入电路通过生成故障数据并且将所述故障数据通过所述第一扫描链的扫入节点设定到所述第一扫描链，在所述逻辑电路的正常操作期间将故障注入到所述逻辑电路内的所述目标节点。

2.根据权利要求1所述的半导体装置，

其中，所述逻辑电路使用保持在多个触发器中的值来执行所述正常操作，并且

其中，所述半导体装置包括通过顺序耦合所述触发器来配置的第二扫描链。

3.根据权利要求2所述的半导体装置，

其中，将所述故障数据，或用于执行所述逻辑电路的扫描测试的批量生产测试图案，输入到所述第一扫描链的所述扫入节点。

4.根据权利要求3所述的半导体装置，

其中，所述半导体装置包括第一选择电路，当所述故障数据被输入到第一输入节点并且所述批量生产测试图案被输入到第二输入节点时，所述第一选择电路选择所述第一输入节点或所述第二输入节点以耦合到所述扫入节点，并且

其中，所述故障注入电路控制所述第一选择电路以选择所述第一输入节点。

5.根据权利要求4所述的半导体装置，

其中，所述半导体装置包括批量生产测试图案生成电路，所述批量生产测试图案生成电路通过生成所述批量生产测试图案、将所述批量生产测试图案的一部分输出到所述第一扫描链的所述扫入节点、并且将所述批量生产测试图案的另一部分输出到所述第二扫描链的所述扫入节点，来执行所述逻辑电路的所述扫描测试。

6.根据权利要求1所述的半导体装置，

其中，所述故障注入电路生成所述故障数据，使得所述测试点触发器中的一个测试点触发器保持所述第一值。

7.根据权利要求6所述的半导体装置，

其中，所述故障注入电路包括控制电路，所述控制电路根据所述设定，来确定将所述故障注入到所述逻辑电路内的所述目标节点的时段。

8.根据权利要求4所述的半导体装置，

其中，所述半导体装置包括第二选择电路，当来自所述故障注入电路的所述故障数据被输入到第三输入节点并且所述第一扫描链的扫出节点被耦合到第四输入节点时，所述第二选择电路选择所述第三输入节点或所述第四输入节点以耦合到所述第一输入节点。

9.根据权利要求8所述的半导体装置，

其中，所述故障注入电路执行以下处理：

生成所述故障数据，使得通过控制所述第二选择电路选择所述第三输入节点，所述测试点触发器中的一个测试点触发器保持所述第一值；以及

通过控制所述第二选择电路选择所述第四输入节点，并且通过在通过移位所述第一扫描链进行扫描的同时允许保持所述第一值的所述测试点触发器进行循环，在改变所述逻辑电路内的所述目标节点的同时注入所述故障。

10.根据权利要求9所述的半导体装置，

其中，所述故障注入电路包括控制电路，所述控制电路根据所述设定，来确定在改变所述逻辑电路内的所述目标节点的同时的所述故障注入中注入所述故障的时段，以及注入所述故障的间隔。

11.一种电子控制系统，所述电子控制系统配备有由单个半导体芯片构成的半导体装置，以在所述半导体装置中发生故障的事件中执行与功能安全相关联的预定操作，

其中，所述半导体装置包括：

逻辑电路，所述逻辑电路具有预定功能；

多个测试点，所述测试点包括测试点触发器，并且当所述测试点触发器保持第一值时，所述测试点将所述逻辑电路内的目标节点固定到预定逻辑电平；以及

扫描链，所述扫描链是通过顺序地耦合所述测试点触发器中的每一个测试点触发器来配置的，

其中，所述电子控制系统还包括故障注入电路，所述故障注入电路通过生成故障数据并且通过将所述故障数据通过所述扫描链的扫入节点设定到所述扫描链，在所述逻辑电路的正常操作期间将故障注入到所述逻辑电路内的所述目标节点。

12.根据权利要求11所述的电子控制系统，

其中，将所述故障数据，或用于在测试所述半导体装置时执行所述逻辑电路的扫描测试的批量生产测试图案，输入到所述扫描链的所述扫入节点。

13.根据权利要求11所述的电子控制系统，

其中，在所述半导体装置中设置所述故障注入电路。

14.根据权利要求13所述的电子控制系统，

其中，所述故障注入电路生成所述故障数据，使得所述测试点触发器中的所述一个测试点触发器保持所述第一值。

15.根据权利要求14所述的电子控制系统，

其中，所述故障注入电路包括控制电路，所述控制电路根据所述设定，来确定将所述故障注入到所述逻辑电路内的所述目标节点的时段。

16.根据权利要求13所述的电子控制系统，

其中，所述半导体装置包括选择电路，当来自所述故障注入电路的所述故障数据以及所述扫描链的所述扫出节点分别被耦合到多个输入节点时，所述选择电路选择所述输入节点中的任何一个以耦合到所述扫描链的所述扫入节点。

17.根据权利要求16所述的电子控制系统，

其中，所述故障注入电路执行以下处理：

生成所述故障数据，使得通过控制所述选择电路选择所述故障数据侧，所述测试点触发器中的一个测试点触发器保持所述第一值；以及

通过控制所述选择电路来选择所述扫出节点侧，并且通过在通过移位所述扫描链进行扫描的同时允许保持所述第一值的所述测试点触发器进行循环，在改变所述逻辑电路内的所述目标节点的同时注入所述故障。

18.根据权利要求17所述的电子控制系统，

其中，所述故障注入电路包括控制电路，所述控制电路根据所述设定，来确定在改变所述逻辑电路内的所述目标节点的同时的所述故障注入中注入所述故障的时段、以及注入所述故障的间隔。

19.根据权利要求13所述的电子控制系统，

其中，所述半导体装置包括非易失性存储器，从所述半导体装置的外部能够将任意值写入所述非易失性存储器，并且

其中，当在所述非易失性存储器的预定存储器区域中存储预定值时，所述故障注入电路进行操作。

20.一种电子控制系统的评估方法，所述电子控制系统配备有由单个半导体芯片构成的半导体装置，

其中，所述半导体装置包括：

逻辑电路，所述逻辑电路具有预定功能；

多个测试点，所述测试点包括测试点触发器，并且当所述测试点触发器保持第一值时，所述测试点将所述逻辑电路内的目标节点固定到预定逻辑电平；以及

扫描链，所述扫描链是通过顺序地耦合所述测试点触发器中的每一个测试点触发器来配置的，其中，用于执行所述逻辑电路的扫描测试的批量生产测试图案或用于使所述逻辑电路进入故障状态的故障数据被输入到扫入节点，

其中，所述方法包括：

允许所述逻辑电路执行所述正常操作的第一步骤；

通过将所述故障数据通过所述扫入节点设定到所述扫描链，在所述逻辑电路的所述正常操作期间将故障注入到所述逻辑电路内的所述目标节点的第二步骤；以及

在将所述故障注入到所述逻辑电路之后验证所述电子控制系统的行为的第三步骤。