CN110383090B - 用于i/o信号故障安全验证的封装的集成电路芯片 - Google Patents

Abstract

在提供输入/输出(I/O)信号故障安全验证的封装集成电路(IC)芯片(100)中，封装的IC芯片(100)包括：处理单元(104)；第一控制外围设备(108)，其经耦合以从处理单元(104)接收第一处理的信号(128)并提供输出信号(130)；以及比较逻辑(120)。比较逻辑(120)经耦合以接收输出信号(130)和比较信号(134)，以比较输出信号(130)和比较信号(134)，并提供响应于输出信号(130)和比较信号(134)之间的差异的误差信号(144)。

Description

用于I/O信号故障安全验证的封装的集成电路芯片

技术领域

本发明总体涉及提供功能安全应用，并且更具体地涉及具有用于高完整性功能安全应用的片上输入/输出(I/O)信号验证的设备。

背景技术

功能安全应用中的微控制器单元(MCU)和其他集成电路(IC)芯片应该具有针对随机故障的高覆盖范围。MCU通常实现多种不同的功能，其包括安全关键功能连同其他非关键功能，诸如数据记录、人机接口等。MCU或IC芯片应该提供用于关键控制功能的高等级的安全完整性，只要检测到关键功能中的错误就进入安全状态。现有的解决方案使用外部电路来检测外向信号的故障，尽管增加外部安全逻辑是昂贵的并且增加了检测时间。功能安全标准(例如IS026262、IEC61508、IEC61800、IEC81800-5-2和类似标准)描述了在高安全完整性等级系统中越来越小的故障检测时间。

发明内容

所描述的实施例涉及封装的IC芯片，例如MCU，其能够提供对所供应的信号的功能的片上监视。根据应用，监视和验证可以仅包括关键控制外围电路，诸如脉冲宽度调制器(PWM)和相关联的输出信号，或者可以包括芯片的一些或所有其他元件，这些元件对输出信号的产生至关重要。

在提供输入/输出(I/O)信号故障安全验证的封装集成电路(IC)芯片的一个方面，封装的IC芯片包括：第一处理单元；第一控制外围设备，其经耦合以从处理单元接收第一处理的信号并提供输出信号；以及比较逻辑，其经耦合以接收输出信号和比较信号，比较输出信号和比较信号以及响应于输出信号和比较信号之间的差异提供误差信号。

附图说明

图1描绘了根据本公开的一个实施例的示例封装的IC芯片。

图2描绘了根据本公开的一个实施例的示例封装的IC芯片。

图3描绘了根据本公开的一个实施例的示例多芯片模块。

具体实施方式

在附图中，相同的参考标记指示类似的元件。如本文中所使用的，术语“耦合(couple或者couples)”意在间接或直接电连接，除非有资格作为(可以包括无线连接的)“可通信地耦合”。因此，如果第一器件耦合到第二器件，则该连接可以通过直接电连接，或通过经由其他器件和连接的间接电连接。

控制调制(例如，PWM)可以是高度算法密集的，所有计算的净结果导致I/O引脚信号调制。与任何故障安全系统相关联的是所谓的潜在故障，其可以与整个处理链的任何部分相关联。对连续更具包容性的处理链部分进行验证可以在功能安全应用中提供更高级别的覆盖。本公开旨在提供许多方法，通过这些方法可以实现提高的验证级别。所描述的实施例能够在各种覆盖级别上提供片上验证，包括从在芯片上接收输入信号的时间到在器件引脚上提供给外界的输出信号的真实端到端覆盖。提供给输出键合焊盘的输出信号可以与至少以下其他信号进行比较：由例如第二PWM模块产生的冗余控制外围设备信号，由复制处理链产生的冗余处理链信号以及从器件封装引脚布线回到IC芯片的输出信号的副本。可以使用片上硬件或片上可配置逻辑块(CLB)来提供所描述的比较逻辑。片上故障检测具有确定性，并增加故障度量。使用所描述的实施例，在相关联的元件(诸如中央处理单元(CPU)、存储器、外围设备路径、其他外围设备和输出路径)中的潜在故障为了功能安全都得到了很好的覆盖。此外，关键电路的功能测试的响应时间将完全在系统故障响应时间内，并将增加诊断和潜在故障覆盖，

参考图1，根据本公开的一个实施例示出了提供I/O信号故障安全检查的封装的IC芯片100的示意图。尽管根据可以是MCU的IC芯片描述了本申请，但是可以在任何类型的IC芯片(例如，数字信号处理器(DSP)、微处理器单元(MPU)、数字信号控制器(DSC)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或可在闭环或开环操作中执行混合信号功能的任何模拟电路)上提供所描述的实施例。如本文中所描述的，还可以利用多芯片模块(MCM)来提供所需的故障安全检查。如图所示，封装的IC芯片100包括IC芯片102和器件引脚124，它们是已安装IC芯片102的引线框架(未具体示出)的一部分。尽管根据作为引线框架的一部分的器件封装引脚来描述实施例，但是所描述的实施例也可以与其他封装类型一起使用，诸如球栅阵列(BGA)。此外，虽然在该图中仅示出了三个器件引脚124和两个键合焊盘122，但是在封装的IC芯片100上可以存在多个键合焊盘122和器件引脚124。器件引脚124经由键合线126附接到IC芯片102上的键合焊盘122，以便提供输入信号、接收输出信号或向IC芯片102提供电源和接地连接(未具体示出)。

IC芯片102包含CPU或处理单元104，其耦合到存储器106。处理单元104将处理的信号128提供给控制外围设备108，在所示的实施例中，控制外围设备108是PWM逻辑。在经设计以用于处理关键控制信号的MCU中，处理单元104和控制外围设备108通常以硬件或固件提供。PWM逻辑108经耦合以将输出信号130朝向键合焊盘122A传送，其在操作中将经耦合以将输出信号130作为控制信号提供给在一个示例实施例中控制电动机的致动器(未具体示出)并且还经由缓冲器114提供给比较逻辑120。只要选择信号112A导通，缓冲器112经耦合以接收输出信号130并将输出信号130提供给键合焊盘122A。如图1所示，键合焊盘122A通过键合线126A耦合到器件引脚124B。器件封装引脚124B还通过接合线126B耦合到第二键合焊盘122B。以这种方式，只要中间电路中没有中断，键合焊盘122B就接收输出信号130。然后，可以将在键合焊盘122B处接收的信号作为输入信号132朝向比较逻辑120发送。期望能够将原始输出信号130与若干不同信号进行比较，其中每个信号在本文中描述。使用不同的比较信号可以允许更容易地确定误差信号的位置。为了使输出信号130能够在不同时间与几个不同信号之一进行比较，输入信号132被提供给多路复用器118，多路复用器118然后可以选择性地将输入信号132作为比较信号134提供给比较逻辑120。在一个实施例中，比较逻辑120在CLB中提供；在另一个实施例中，比较逻辑以硬件提供。在一个实施例中，比较逻辑120是使用例如所示的异或(XOR)逻辑块的简单比较。在一个实施例中，比较逻辑120是智能比较器，其能够基于适当的因素进行复杂的比较。在所有实施例中，比较逻辑120可操作以在被比较的两个信号不一致时发送误差信号144。

封装的IC芯片100不仅提供验证输出信号130在发送时到达器件引脚124B的能力，还提供用于验证PWM逻辑108正在正确操作的装置。在一个实施例中，这通过处理单元104将处理的信号128作为数字信号136发送到冗余PWM逻辑110来实现。冗余PWM逻辑110使用数字信号136来执行在PWM逻辑108中执行的相同计算，并将冗余外围设备信号138朝向多路复用器118发送。在一个实施例中，在缓冲器116处接收冗余外围设备信号138，其选择性地向多路复用器118提供冗余信号140。使用冗余PWM逻辑110，比较逻辑120能够验证PWM逻辑108正在正确地操作。通过使处理单元104使用与用于提供处理的信号128的算法不同的算法产生数字信号136，可以提供附加的多样性/验证能力。使用单独的算法提供对处理单元104使用的计算的检查，并增加另一个级别的验证。在一个实施例中，多路复用器118还经耦合以接收测试输入142，测试输入142可以从片上或片外源(未具体示出)提供。测试输入142被设计为测试比较逻辑120并确保比较逻辑120正确地操作。可以周期性地提供测试输入142。

图2描绘了根据本公开另一个实施例的提供I/O信号故障安全检查的封装的IC芯片200的示意图。在封装的IC芯片200中，IC芯片202包含提供安全关键信号的整个处理链的完全复制。在第一处理链201中，感测转换器204从传感器(未具体示出)接收第一输入信号260，并将数字信号234提供给第一处理单元206和相关联的存储器208。感测转换器204可以是模数转换器(ADC)、Delta-Sigma(ΔΣ)调制器、捕获单元或类似器件。第一处理单元206对提供的数字信号执行必要的计算，并将处理的信号236发送到第一控制外围设备210，第一控制外围设备210执行必要的控制功能，并朝向键合焊盘228A发送输出信号238。在第一控制外围设备210和键合焊盘228A之间，缓冲器222提供选择开关，其确定输出信号是否被提供给键合焊盘228A。第一处理单元206还可以可选地将处理的信号237发送到冗余控制外围设备212；处理的信号237可以是发送到第一控制外围设备210的相同信号，也可以是单独确定的信号，如图1的实施例中所描述的。在一个实施例中，感测转换器204从电动机接收模拟信号，并且控制外围设备210是提供输出信号238的PWM。输出信号238可以被提供给能够将低压输出信号转换或变换成合格或调制的高压信号的任何功率级，例如，在不间断电源系统(UPS)、数字电源转换系统(DC-DC或DC-AC)或电动转换系统(例如电动机)中。控制外围设备210还可以提供任何类型的数字致动器逻辑。

在第二处理链203中，感测转换器214从传感器(未具体示出)接收第二输入信号262，并将数字信号244提供给第二处理单元216和相关联的存储器218。在一个实施例中，感测转换器204和感测转换器214从单个传感器接收相同信号的副本。在一个实施例中，感测转换器204接收来自第一传感器的第一信号，感测转换器214接收来自不同于第一传感器的第二传感器的第二信号。处理单元216对提供的数字信号244执行必要的计算，并将处理的信号246发送到冗余控制外围设备220，冗余控制外围设备220朝向比较逻辑232发送冗余处理链信号248。在一个实施例中，缓冲器226位于冗余控制外围设备220和比较逻辑232之间，并提供选择开关，该选择开关确定冗余处理链信号248是否被提供给多路复用器256。在提供控制外围设备212的实施例中，缓冲器226具有双选择开关，以便选择哪两个信号被传送到多路复用器256。在一个实施例(未具体示出)中，冗余外围设备信号250和冗余信号链信号248可以分别直接提供给多路复用器256。

如图2所示，多路复用器256接收可以选择性地朝向比较逻辑232传送的三个信号：冗余信号252，其可以是冗余外围设备信号250或冗余处理链信号248；测试输入258，其被提供给测试比较逻辑232；以及输入信号240，其接收在器件引脚230B和键合焊盘228B上接收的输入信号。比较逻辑232将由多路复用器256提供的比较信号242与可以通过缓冲器224选择性地传送的输出信号238进行比较，并且当两个信号不一致时可以提供误差信号254。输出信号238还被提供给缓冲器222、键合焊盘228A和器件引脚230A。该实施例被设计成使器件引脚230A和230B在印刷电路板(PCB)(未具体示出)上连结在一起，使得提供片外反馈连接。器件引脚230B经由接合线耦合到键合焊盘228B，并且所得到的输入信号240被提供给多路复用器256。替代性地，键合焊盘228B可以耦合到器件引脚230A，类似于图1中所见的耦合，为了提供片上反馈连接以提供输入信号240。

使用所描述的封装IC芯片200，可以监视和验证IC芯片202的多种不同操作。将输出信号238与冗余外围设备信号250进行比较可以确定控制外围设备210正在正确地操作；将输出信号238与冗余处理链信号248进行比较可以确保整个处理链正常操作；并且将输出信号238与输入信号240进行比较可以确保在控制外围设备210处确定的信号实际上已经到达器件引脚230A。还通过将输出信号238与测试输入258进行比较来测试比较逻辑232。在一个实施例中，封装的IC芯片200是由德克萨斯仪器有限公司(TexasInstrumentsIncorporated)出售的C2000^TM MCU芯片。在一个实施例中，封装的IC芯片200中的两个处理单元206、216是相同的处理器，诸如C28x^TM DSP。在一个实施例中，封装的IC芯片200中的两个处理单元206、216是不同类型的处理器，其将额外的种类引入处理链，例如，第一处理链包括C28x^TM DSP处理器，而第二处理链包括控制律加速器(CLA)处理器，其都在同一芯片上。当处理链包括不同的处理器时，比较逻辑232可以包含考虑处理器之间的差异的复杂比较逻辑。关于具有两个处理链的实施例的进一步细节可以在共同未决的专利申请号US 15/584,550中找到，其通过参考并入本文。

图3描绘了根据本公开的一个实施例的多芯片模块300。在MCM 300中，用于提供主处理链验证的组件是相同的，但冗余处理链作为单独的芯片提供。IC芯片301包括比较逻辑232和主处理链，其包括感测转换器204、处理单元206和控制外围设备210。还可以根据需要提供冗余控制外围设备212。IC芯片303提供冗余处理链，其包括感测转换器214、处理单元216和冗余控制外围设备220。IC芯片301和IC芯片303将各自具有单独的电源和单独的时钟，但是在MCM 300内部结合。尽管为简单起见，在该图中仅示出了IC芯片301、303，但是MCM可以包括耦合在一起的任何数量的附加芯片。在MCM 300中，冗余处理链信号248被提供给IC芯片303上的键合焊盘(未具体示出)。键合线305将IC芯片303上的键合焊盘连结到IC芯片301上的键合焊盘(也未具体示出)，从该键合焊盘将冗余处理链信号248提供给多路复用器256。MCM 300的实施例可以为感测、处理和致动路径提供各种处理器能力和多样性。在作为MCM的该实施方式中，如果硅管芯301和303被独立供电和定时，则减少了常见原因问题的限制，并且感测、处理和PWM致动链的故障覆盖率将高于图1和图2中的实施方式。

使用所描述的实施例，可以根据系统的需要以不同的覆盖级别提供输出信号的安全完整性。所描述的封装的IC芯片使得能够在器件制造期间测试控制外围设备的可靠方式，并且在器件的实时操作期间改善系统和随机故障模式覆盖率。所描述的封装的IC芯片还可以降低器件测试成本并捕获由系统和随机缺陷引起的早期缺陷。运行时期间的故障覆盖率度量可超过百分之九十九。因为对诸如PWM对的感测、处理和关键控制信号执行监视和验证，所描述的封装的IC芯片可以提供廉价的解决方案以实现非常高的故障覆盖率。

使用来自器件引脚的所描述的反馈路径还提供了一种检查I/O级发生的故障的简便方法。I/O级中的故障可包括可以烧断缓冲器的静电放电事件。器件引脚还可以具有耦合到引脚的多个驱动器；如果两个驱动器同时向器件引脚驱动信号，则产生的信号可能导致闩锁并烧断缓冲器。电路中的潜在缺陷(例如，金属导线中的弱点)可能导致I/O缓冲器中的边缘性，其提供间歇性错误。甚至将已封装芯片安装到其上的的PCB上的相互作用也可能导致控制信号的中断，例如，通过IC芯片的硅的损坏。所描述的反馈路径和片上比较逻辑提供对这些事件的检测，即使问题是部分或临时的。

所描述的封装IC芯片可在系统操作期间提供更高的安全完整性和可靠性检查，降低器件测试成本，捕获由于系统和随机缺陷导致的早期缺陷，并在功能安全标准中实现安全度量计算，该功能安全标准诸如IS026262、IEC61508、IEC61800-5-2和类似的标准。

在权利要求的范围内，在所描述的实施例中修改是可能的，并且其他实施例也是可能的。

Claims (11)

1.一种封装的集成电路即封装的IC，所述IC包括：

第一处理单元，其具有第一处理信号输出；

第一控制单元，其具有第一控制单元输入以及第一控制单元输出，所述第一控制单元输入耦合到所述第一处理信号输出；

冗余控制单元，其具有冗余控制单元输入以及冗余控制单元输出，所述冗余控制单元输入耦合到所述第一处理信号输出；

多路复用器，其具有多路复用器输入以及多路复用器输出，所述多路复用器输入耦合到所述冗余控制单元输出；以及

比较器，其具有耦合到所述第一控制单元输出的第一输入、比较信号输入和误差信号输出，所述比较信号输入耦合到所述多路复用器输出。

2.根据权利要求1所述的封装的IC，其进一步包括：

第一处理链，其包括第一感测转换器、所述第一处理单元和所述第一控制单元，所述第一感测转换器经耦合以接收第一输入信号并将第一数字信号提供到所述第一处理单元；以及

第二处理链，其包括第二感测转换器、第二处理单元和第二控制单元，所述第二感测转换器经耦合以接收第二输入信号并向所述第二处理单元提供第二数字信号，所述第二控制单元经耦合以从所述第二处理单元接收第二处理的信号，并向所述多路复用器提供冗余处理链信号，以选择性地用作比较信号。

3.根据权利要求2所述的封装的IC，其进一步包括：

第一键合焊盘，其经耦合以接收输出信号并将所述输出信号提供给第一器件引脚；和

第二键合焊盘，其经耦合以接收来自第二器件引脚的输入信号，并将所述输入信号提供给所述多路复用器，以选择性地用作所述比较信号。

4.根据权利要求2所述的封装的IC，其进一步包括：

第一键合焊盘，其经耦合以接收输出信号并将所述输出信号提供给第一器件引脚；和

第二键合焊盘，其经耦合以接收来自第一器件封装引脚的输入信号，并将所述输入信号提供给所述多路复用器，以选择性地用作所述比较信号。

5.根据权利要求1所述的封装的IC，其中，所述第一控制单元接收第一处理的信号，所述冗余控制单元接收第三处理的信号，所述第一处理的信号由在所述第一处理单元上运行的第一算法提供，并且所述第三处理的信号由在所述第一处理单元上运行的第二算法提供。

6.根据权利要求1所述的封装的IC，其中，所述第一控制单元是脉冲宽度调制器。

7.根据权利要求3所述的封装的IC，其中，所述多路复用器还经耦合以接收外部测试信号，以选择性地用作所述比较信号。

8.根据权利要求1所述的封装的IC，其中，所述比较器是智能比较器。

9.根据权利要求1所述的封装的IC，其中，所述比较器包括异或逻辑门。

10.根据权利要求1所述的封装的IC，其进一步包括耦合到所述比较信号输入的冗余处理链。

11.根据权利要求1所述的封装的IC，其进一步包括耦合到所述比较信号输入的器件封装引脚。

Images