JP2020190828A - 周波数異常保護回路 - Google Patents

Abstract

【課題】オシレータの周波数異常時における安全性を高める。【解決手段】半導体装置１００（例えば監視ＩＣ）は、クロック信号ＣＬＫ１を生成するオシレータ１６１と、クロック信号ＣＬＫ１を用いるデジタル処理部１７０と、オシレータ１６１とデジタル処理部１７０との間に設けられた周波数異常保護回路Ａとを有する。周波数異常保護回路Ａは、クロック信号ＣＬＫ１を用いる後段回路（デジタル処理部１７０）が誤動作するほどクロック信号ＣＬＫ１の発振周波数ｆ１が高いときにクロック信号ＣＬＫ１のパルスを遮断する。周波数異常保護回路Ａは、クロック信号ＣＬＫ１のパルス遮断手段としてローパスフィルタＡ１を含む。ローパスフィルタＡ１のカットオフ周波数ｆｃは、デジタル処理部１７０の動作上限周波数ｆＨ以下である。【選択図】図８

Description

本明細書中に開示されている発明は、例えば、監視ＩＣなどの半導体装置（特にこれに用いられる周波数異常保護回路）に関する。

近年、入力電圧監視機能やウォッチドッグタイマ機能を備えた監視装置（いわゆる監視ＩＣ）が様々なアプリケーションで用いられている。

なお、上記に関連する従来技術の一例としては、特許文献１を挙げることができる。

国際公開第２０１３／０８４２７７号

しかしながら、上記従来の監視装置では、自らの周波数異常検出と従属故障の回避について、さらなる改善の余地があった。

特に、近年では、車載用ＩＣに対して、ＩＳＯ２６２６２（自動車の電気／電子に関する機能安全についての国際規格）を順守することが求められており、車載用の監視ＩＣについても、フェイルセーフを念頭に置いた信頼性設計が重要となっている。

本明細書中に開示されている発明は、本願の発明者が見出した上記課題に鑑み、安全性の高い周波数異常保護回路及びこれを用いた半導体装置を提供することを目的とする。

本明細書中に開示されている周波数異常保護回路は、クロック信号を用いる後段回路が誤動作するほど前記クロック信号の発振周波数が高いときに前記クロック信号のパルスを遮断する構成（第１の構成）とされている。

なお、上記第１の構成から成る周波数異常保護回路は、前記クロック信号のパルス遮断手段としてローパスフィルタを含む構成（第２の構成）にするとよい。

また、上記第２の構成から成る周波数異常保護回路において、前記ローパスフィルタのカットオフ周波数は、前記後段回路の動作上限周波数以下である構成（第３の構成）にするとよい。

また、本明細書中に開示されている半導体装置は、前記クロック信号を生成するオシレータと、前記クロック信号を用いるデジタル処理部と、前記オシレータと前記デジタル処理部との間に設けられた上記第１〜第３いずれかの構成から成る周波数異常保護回路と、を有する構成（第４の構成）とされている。

なお、上記第４の構成から成る半導体装置は、第２クロック信号を生成する第２オシレータをさらに有し、前記デジタル処理部は、前記クロック信号及び前記第２クロック信号の相互監視を行う構成（第５の構成）にするとよい。

また、上記第５の構成から成る半導体装置は、前記オシレータ及び前記第２オシレータそれぞれの周波数トリミングデータを格納する記憶部をさらに有し、前記デジタル処理部は、前記クロック信号を用いて前記記憶部のアクセス制御を行う構成（第６の構成）にするとよい。

また、上記第４〜第６いずれかの構成から成る半導体装置は、入力電圧監視機能及びウォッチドッグタイマ機能を備える構成（第７の構成）にするとよい。

また、本明細書中に開示されている電子機器は、電源装置と、マイコンと、上記第７の構成から成り前記電源装置及び前記マイコンの異常を監視する半導体装置と、を有する構成（第８の構成）とされている。

なお、上記第８の構成から成る電子機器において、前記マイコンは、前記半導体装置の動作が開始しないときに異常と判定する構成（第９の構成）にするとよい。

また、本明細書中に開示されている車両は、上記第８または第９の構成から成る電子機器を有する構成（第１０の構成）とされている。

本明細書中に開示されている発明によれば、安全性の高い周波数異常保護回路、及び、これを用いた半導体装置を提供することが可能となる。

電子機器の全体構成を示す図 監視ＩＣのパッケージ外観を示す図 監視ＩＣのピン配置を示す図 監視ＩＣの第１実施形態を示す図 クロック検出部の一構成例を示すブロック図 第１低周波数異常検出部の判定動作を示す図 第２低周波数異常検出部の判定動作を示す図 監視ＩＣの第１実施形態を示す図 カットオフ周波数の一設定例を示す図 車両の外観を示す図

＜電子機器＞
図１は、電子機器の全体構成を示す図である。本構成例の電子機器１は、監視ＩＣ１００と、パワーマネジメントＩＣ２００と、マイコン３００と、を有する。

監視ＩＣ１００は、バッテリから供給されるバッテリ電圧ＶＢＡＴ（例えば３．０〜２８Ｖ）と、パワーマネジメントＩＣ２００から供給される外部電源電圧ＶＤＤＩＮ（例えば３．３Ｖ）それぞれの入力を受けて動作する半導体集積回路装置であり、パワーマネジメントＩＣ２００の各種出力電圧とマイコン３００の出力周波数をそれぞれ監視してそれらの異常検出を行う。

なお、監視ＩＣ１００は、ＩＣ外部との電気的な接続を確立するための手段として、複数の外部端子（ＶＣＣピン、ＧＮＤピン、ＶＲＥＧピン、ＶＤＤＩＮピン、ＤＩＮ１〜ＤＩＮ４ピン、ＥＮピン、ＶＲＥＦピン、ＸＦＡＵＬＴピン、ＸＷＡＲピン、ＳＰＩＧＯＯＤピン、ＸＳＣＳピン、ＳＣＬＫピン、ＭＯＳＩピン、ＭＩＳＯピン、及び、ＷＤＩＮピン）を備えている。

パワーマネジメントＩＣ２００は、バッテリ電圧ＶＢＡＴの供給を受けて動作する半導体集積回路装置であり、複数の出力電圧ＶＯ１及びＣＨ１〜ＣＨ４を生成して電子機器１の各部（マイコン２００のほか、センサやＣＡＮ［controller area network］など）に供給する。なお、多出力のパワーマネジメントＩＣ２００に代えて、単出力のＤＣ／ＤＣコンバータやＬＤＯ［low drop-out］レギュレータなどを複数用いることも可能である。

マイコン３００は、パワーマネジメントＩＣ２００から外部電源電圧ＶＤＤＩＮ（＝出力電圧ＶＯ１）の供給を受けて動作する半導体集積回路装置であり、監視ＩＣ１００やパワーマネジメントＩＣ２００を含む電子機器１全体の動作を統括的に制御する。

なお、監視ＩＣ１００とマイコン３００は、それぞれ、マイコン３００をマスタとし、監視ＩＣ１００をスレーブとして、ＳＰＩ［serial peripheral interface］バスを介した双方向通信を行う機能を備えている。例えば、マイコン３００は、ＳＰＩ通信による監視ＩＣ１００のレジスタ制御により、オシレータの発振周波数制御やウォッチドッグタイマのイネーブル制御を行う機能を備えている。また、マイコン３００は、ウォッチドッグイネーブルレジスタについて、自らが書き込みを命じた設定値と監視ＩＣ１００から読み出した格納値との一致判定を行う機能も備えている。

また、マイコン３００は、監視ＩＣ１００から入力される異常通知信号ＸＦＡＵＬＴの論理レベルに応じて、監視ＩＣ１００が正常であるか否かを判定する機能を備えている。異常通知信号ＸＦＡＵＬＴは、監視ＩＣ１００のＢＩＳＴ［built in self test］結果がＮＧである場合や機能安全ブロックに異常が検出された場合にローレベルとなる。

また、マイコン３００は、監視ＩＣ１００から入力される警告通知信号ＸＷＡＲの論理レベルに応じて、監視ＩＣ１００の各種入力状態が正常であるか否かを判定する機能を備えている。警告通知信号ＸＷＡＲは、監視ＩＣ１００のＤＩＮ１〜ＤＩＮ４ピン、ＶＤＤＩＮピン、又は、ＶＣＣピンの過電圧状態ないし低電圧状態、若しくは、ＸＳＣＳピンの断絶状態を検出した場合にローレベルとなる。

また、マイコン３００は、監視ＩＣ１００から入力される通信良好信号ＳＰＩＧＯＯＤの論理レベルに応じて、監視ＩＣ１００とのＳＰＩ通信が正常であるか否かを判定する機能を備えている。通信良好信号ＳＰＩＧＯＯＤは、ＳＰＩ通信が不可能であるときにローレベルとなる。

また、マイコン３００は、監視ＩＣ１００のＥＮピンにイネーブル信号ＥＮを出力する機能、ないし、監視ＩＣ１００のＷＤＩＮピンにウォッチドッグ入力信号ＷＤＩＮ（＝数十Ｈｚのリセットパルス信号）を出力する機能も備えている。なお、マイコン３００は、監視ＩＣ１００のＶＲＥＦピンから精度の高い基準電圧ＶＲＥＦ（例えば１．２Ｖ）の入力を受け付けてもよい。

また、電子機器１は、監視ＩＣ１００に外付けされるディスクリート部品として、抵抗Ｒ１〜Ｒ３と、キャパシタＣ１及びＣ２と、を有する。

抵抗Ｒ１は、監視ＩＣ１００のＸＦＡＵＬＴピンと電源端との間に接続されており、監視ＩＣ１００からマイコン３００への異常通知信号ＸＦＡＵＬＴを外部電源電圧ＶＤＤＩＮに吊り上げるためのプルアップ抵抗として機能する。

抵抗Ｒ２は、監視ＩＣ１００のＸＷＡＲピンと電源端との間に接続されており、監視ＩＣ１００からマイコン３００への警告通知信号ＸＷＡＲを外部電源電圧ＶＤＤＩＮに吊り上げるためのプルアップ抵抗として機能する。

抵抗Ｒ３は、監視ＩＣ１００のＳＰＩＧＯＯＤピンと電源端との間に接続されており、監視ＩＣ１００からマイコン３００への通信良好信号ＳＰＩＧＯＯＤを外部電源電圧ＶＤＤＩＮに吊り上げるためのプルアップ抵抗として機能する。

キャパシタＣ１は、監視ＩＣ１００のＶＣＣピンと接地端との間に接続されており、バッテリ電圧ＶＢＡＴ（例えば３．０〜２８Ｖ）のノイズ吸収手段として機能する。

キャパシタＣ２は、監視ＩＣ１００のＶＲＥＧピンと接地端との間に接続されており、内部電源電圧ＶＲＥＧ（例えば１．５Ｖ）の発振防止手段として機能する。なお、キャパシタＣ２としては、ＥＳＲ［equivalent series resistance］の低いセラミックコンデンサが推奨される。

＜監視ＩＣ（パッケージ）＞
図２は、監視ＩＣ１００のパッケージ外観（トップ面及びボトム面）を示す図である。本図で示すように、監視ＩＣ１００のパッケージとしては、例えばＶＱＦＮ［very thin quad flat Non-leaded］パッケージを採用するとよい。

より具体的に述べると、監視ＩＣ１００は、平面視矩形状の樹脂封止体１０１を持ち、そのボトム面には、樹脂封止体１０１から突出することなく、各辺５本ずつ計２０本の外部端子１０２が露出されている。このようなノンリードのＶＱＦＮパッケージであれば、リードを持つパッケージ（ＱＦＰ［quad flat package］など）と比べて、その実装面積を縮小することが可能となる。

なお、樹脂封止体１０１には、そのボトム面がトップ面よりも若干小さくなるように、側面からボトム面に向けたテーパが付けられている。また、外部端子１０２は、樹脂封止体１０１のボトム面から側面にかけて露出されている。このような構成であれば、プリント配線基板（不図示）への実装作業を容易かつ確実に実施することができる。

また、樹脂封止体１０１のボトム面には、監視ＩＣ１００の半導体チップ（不図示）を搭載するアイランド１０３の裏面（＝チップ搭載面の裏側）が放熱パッドとして露出されている。このような構成であれば、監視ＩＣ１００の放熱性を高めることが可能となる。

なお、アイランド１０３の四隅のうち、少なくとも一つには、切欠部１０３ａ（＝樹脂封止体１０１のボトム面側からトップ面側に向けて窪んだ薄肉部）を設けておくとよい。この切欠部１０３ａに樹脂封止体１０１の材料が入り込むことにより、アイランド１０３は、切欠部１０３ａの形成領域において、上下両側から樹脂封止体１０１に挟持されている。このような構成とすることにより、樹脂封止体１０１との密着性を高めて、アイランド１０３の脱落を防止することが可能となる。

＜監視ＩＣ（ピン配置）＞
図３は、監視ＩＣ１００のピン配置（２０ピンのＶＱＦＮ採用時）を示す図である。監視ＩＣ１００の第１辺（本図下辺）には、本図の左から右に向けて、５本の外部端子（１ピン〜５ピン）が順に並べられている。１ピンは、電源端子（ＶＣＣピン）である。２ピンは、不使用端子（Ｎ．Ｃ．［non-connection］ピン）である。３ピンは、イネーブル端子（ＥＮピン）である。４ピンは、接地端子（ＧＮＤピン）である。５ピンは、基準電圧出力端子（ＶＲＥＦピン）である。

監視ＩＣ１００の第２辺（本図右辺）には、本図の下から上に向けて、５本の外部端子（６ピン〜１０ピン）が順に並べられている。６ピンは、ＳＰＩデータ出力端子（ＭＩＭＯピン）である。７ピンは、ＳＰＩデータ入力端子（ＭＯＳＩピン）である。８ピンは、ＳＰＩクロック端子（ＳＣＬＫピン）である。９ピンは、ＳＰＩチップセレクト端子（ＸＳＣＳピン）である。１０ピンは、ウォッチドッグ入力端子（ＷＤＩＮピン）である。

監視ＩＣ１００の第３辺（本図上辺）には、本図の右から左に向けて、５本の外部端子（１１ピン〜１５ピン）が順に並べられている。１１ピンは、電圧監視入力端子（ＶＤＤＩＮピン）である。１２ピンは、異常通知出力端子（ＸＦＡＵＬＴピン）である。１３ピンは、電圧監視入力端子（ＤＩＮ２ピン）である。不使用端子（Ｎ．Ｃ．ピン）である。１５ピンは、電圧監視入力端子（ＤＩＮ１ピン）である。

監視ＩＣ１００の第４辺（本図左辺）には、本図の上から下に向けて、５本の外部端子（１６ピン〜２０ピン）が順に並べられている。１６ピンは、電圧監視入力端子（ＤＩＮ３ピン）である。１７ピンは、通信良好出力端子（ＳＰＩＧＯＯＤピン）である。１８ピンは、内部電源出力端子（ＶＲＥＧピン）である。１９ピンは、警告通知出力端子（ＸＷＡＲピン）である。２０ピンは、電圧監視入力端子（ＤＩＮ４ピン）である。

＜監視ＩＣ（第１実施形態）＞
図４は、監視ＩＣ１００の第１実施形態（基本的構成）を示す図である。本実施形態の監視ＩＣ１００は、内部電源部１１０と、入力調整部１２０と、入力選択部１３０と、Ａ／Ｄコンバータ１４０と、記憶部１５０と、発振部１６０と、デジタル処理部１７０と、入出力部１８０と、ＡＮＤゲート１９０と、を集積化して成る。

また、監視ＩＣ１００には、上記した回路ブロック以外にも、内部基準電源相互監視部（ＶＲＥＦ＿ＳＵＢ）、低電圧誤動作防止回路部（ＤＥＴ＿ＶＣＣ＿ＵＶＬＯ、ＤＥＴ＿ＶＲＥＧ＿ＵＶＬＯ）、減電圧検出回路部（ＤＥＴ＿ＰＲＥＧ＿ＵＶＤ）、過電圧検出回路（ＤＥＴ＿ＰＲＥＧ＿ＯＶＤ、ＤＥＴ＿ＶＲＥＧ＿ＯＶＤ）、及び、温度保護回路（ＤＥＴ＿ＴＳＤ＿ＶＲＥＧ）などが集積化されているが、それぞれの図示は割愛する。

内部電源部１１０は、ＶＣＣピンに印加されるバッテリ電圧ＶＢＡＴから種々の内部電圧（ＰＲＥＧ、ＶＲＥＧ、ＶＲＥＦ１、ＶＲＥＦ２）を生成する回路部であり、プリレギュレータ１１１と、レギュレータ１１２と、基準電圧生成部１１３及び１１４とを含む。

プリレギュレータ１１１は、バッテリ電圧ＶＢＡＴ（例えば３．０〜２８Ｖ）を降圧して内部定電圧ＰＲＥＧ（例えば２．８Ｖ）を生成する。

レギュレータ１１２は、内部定電圧ＰＲＥＧを降圧して内部電源電圧ＶＲＥＧ（例えば１．５Ｖ）を生成し、Ａ／Ｄコンバータ１４０、記憶部１５０、発振部１６０、及び、デジタル処理部１７０などに供給する。

基準電圧生成部１１３及び１１４は、それぞれ、内部定電圧ＰＲＥＧを降圧して高精度の内部基準電圧ＶＲＥＦ１及びＶＲＥＦ２（例えば１．２Ｖ）を生成する。内部基準電圧ＶＲＥＦ１は、Ａ／Ｄコンバータ１４０などの内部回路やＶＲＥＦピンに出力されるメイン基準電圧である。一方、内部基準電圧ＶＲＥＦ２は、内部基準電圧ＶＲＥＦ１の相互監視用電圧として使用されるサブ基準電圧である。なお、ＶＲＥＦピンには、キャパシタを外付けすべきでない。

入力調整部１２０は、各種入力電圧（ＶＣＣ、ＶＤＤＩＮ、ＤＩＮ１〜ＤＩＮ４）を分圧して入力選択部１３０に出力する分圧部１２１〜１２６を含む。なお、分圧部１２１〜１２６それぞれの分圧比は、任意に設定することが可能である。

入力選択部１３０は、デジタル処理部１７０（特に後述のＡ／Ｄコントローラ１７１）からの指示に応じて、分圧部１２１〜１２６それぞれの分圧出力電圧と内部基準電圧ＶＲＥＦ２のうち、いずれか一つを選択してＡ／Ｄコンバータ１４０に出力するアナログマルチプレクサである。なお、内部基準電圧ＶＲＥＦ２は、内部基準電圧ＶＲＥＦ１との相互監視時に選択される。

Ａ／Ｄコンバータ１４０は、内部電源電圧ＶＲＥＧと内部基準電圧ＶＲＥＦ１の供給を受けて動作し、入力選択部１３０で選択されたアナログ入力電圧をｍビット（例えばｍ＝１４）のデジタル出力信号に変換してデジタル処理部１７０（特に後述のＡ／Ｄコントローラ１７１）に出力する。なお、Ａ／Ｄコンバータ１４０としては、例えば、ＳＡＲ−ＡＤＣ［successive approximation register type analog-to-digital converter］を用いることが望ましい。

記憶部１５０は、内部電源電圧ＶＥＲＧと内部定電圧ＰＲＥＧの供給を受けて動作し、監視ＩＣ１００のコンフィグレーションに用いられるレジスタデータ（発振部１６０の周波数トリミングデータなど）を不揮発的に記憶する。監視ＩＣ１００のコンフィグレーションは、例えば、監視ＩＣのＢＩＳＴ期間に行えばよい。なお、記憶部１５０としては、例えばＯＴＰＲＯＭ［one time programmable read only memory］が好適である。

発振部１６０は、２系統のオシレータ１６１及び１６２を含む。オシレータ１６１は、内部電源電圧ＶＲＥＧと内部基準電圧ＶＲＥＦ１の供給を受けて動作し、Ａ／Ｄコンバータ１４０、記憶部１５０、及び、ロジック処理部１７０で用いられる発振周波数ｆ１（例えばｆ１＝５ＭＨｚ）のクロック信号ＣＬＫ１を生成する。一方、オシレータ１６２は、内部電源電圧ＶＲＥＧと内部基準電圧ＶＲＥＦ２の供給を受けて動作し、クロック信号ＣＬＫ１の動作監視に供される発振周波数ｆ２（例えばｆ２＝４００ｋＨｚ）のクロック信号ＣＬＫ２（例えば４００ｋＨｚ）を生成する。

デジタル処理部１７０は、内部電源電圧ＶＲＥＧの供給を受けて動作し、各種入力信号の監視処理や各種出力信号の生成処理などを行う。なお、デジタル処理部１７０のクロック入力端には、オシレータ１６１からクロック信号ＣＬＫ１が入力されており、デジタル処理部１７０は、クロック信号ＣＬＫ１に同期して動作する。また、デジタル処理部１７０は、ＡＮＤゲート１９０から入力されるリセット信号ＲＳＴによりリセットされる。より具体的に述べると、デジタル処理部１７０は、リセット信号ＲＳＴがローレベルであるときにリセット状態（＝ディセーブル状態）となり、リセット信号ＲＳＴがハイレベルであるときにリセット解除状態（＝イネーブル状態）となる。なお、デジタル処理部１７０の内部構成及び動作については後述する。

入出力部１８０は、内部電源電圧ＶＲＥＧと外部電源電圧ＶＤＤＩＮの供給を受けて動作し、デジタル処理部１７０と信号入出力端子（ＸＦＡＵＬＴ、ＸＷＡＲ、ＳＰＩＧＯＯＤ、ＸＳＣＳ、ＳＣＬＫ、ＭＯＳＩ、ＭＩＳＯ、ＷＤＩＮ）との間で信号レベルシフトを行う。なお、ＸＦＡＵＬＴピン、ＸＷＡＲピン、及び、ＳＰＩＧＯＯＤピンは、いずれもオープンドレイン出力であり、入出力部１８０は、各ピンと接地端との間に接続されたＮＭＯＳＦＥＴ［N-channel type metal oxide semiconductor field effect transistor］（不図示）を含む。

ＡＮＤゲート１９０は、各種異常検出信号（ＴＳＤ、ＶＣＣ＿ＵＶＬＯ、ＶＲＥＧ＿ＵＶＬＯ、ＶＲＥＧ＿ＯＶＤ）とイネーブル信号ＥＮの論理積演算により、リセット信号ＲＳＴを生成する。従って、リセット信号ＲＳＴは、イネーブル信号ＥＮがローレベル（＝ディセーブル時の論理レベル）であるとき、若しくは、各種異常検出信号の少なくとも一つがローレベル（＝異常検出時の論理レベル）であるときに、ローレベル（＝リセット時の論理レベル）となる。一方、リセット信号ＲＳＴは、イネーブル信号ＥＮがハイレベル（＝イネーブル時の論理レベル）であって、かつ、各種異常検出信号がいずれもハイレベル（＝異常未検出時の論理レベル）であるときに、ハイレベル（＝リセット解除時の論ん離レベル）となる。

＜デジタル処理部＞
引き続き、図４を参照しながら、デジタル処理部１７０の内部構成について説明する。本構成例のデジタル処理部１７０は、Ａ／Ｄコントローラ１７１と、ＯＴＰコントローラ１７２と、クロック検出部１７３と、通知コントローラ１７４と、ＳＰＩインタフェイス１７５と、自己診断部１７６と、ウォッチドッグタイマ１７７と、を含む。

Ａ／Ｄコントローラ１７１は、Ａ／Ｄコンバータ１４０で生成されるデジタル出力信号と所定の閾値（ＯＶＤ検出閾値及びＵＶＤ検出閾値）とを比較することにより、各種アナログ入力電圧の過電圧検出（ＯＶＤ）及び減電圧検出（ＵＶＤ）を行い、それぞれの検出結果を通知コントローラ１７４に伝える。また、Ａ／Ｄコントローラ１７１は、入力選択部１３０の切替制御を行う機能も備えている。

ＯＴＰコントローラ１７２は、例えば、監視ＩＣ１００のコンフィグレーション（発振部１６０の周波数トリミングなど）に際して、記憶部１５０のアクセス制御（＝ＯＴＰリコール）を行う。

クロック検出部１７３は、クロック信号ＣＬＫ１及びＣＬＫ２を相互に監視してそれぞれの周波数異常を検出し、その検出結果を通知コントローラ１７４に伝える。

通知コントローラ１７４は、通知コントローラ１７４は、Ａ／Ｄコントローラ１７１、クロック検出部１７３及びウォッチドッグタイマ１７７それぞれの異常検出結果、並びにその他の異常検出結果（ＰＲＥＧ＿ＵＶＤ、ＰＲＥＧ＿ＯＶＤ、ＶＲＥＧ＿ＯＶＤなど）に応じて、ＸＦＡＵＬＴピン及びＸＷＡＲピンそれぞれの論理レベルを設定し、或いは、ＳＰＩ通信によるエラー通知を行う。

ＳＰＩインタフェイス１７５は、入出力部１８０を介してＳＰＩ通信ピン（ＸＳＣＳ、ＳＣＬＫ、ＭＯＳＩ、ＭＩＳＯ）に接続されており、監視ＩＣ１００（特にデジタル処理部１７０）とマイコン３００との間で、ＳＰＩバスを介した双方向通信を行う。

自己診断部１７６は、監視ＩＣ１００が備える監視機能を開始する前に、監視ＩＣ１００自身が正常に機能しているか否かの自己診断動作（ＢＩＳＴ）を行い、その診断結果を通知コントローラ１７４に伝える。ＢＩＳＴには、Ｄ−ＢＩＳＴ（＝デジタル処理部１７０のためのＢＩＳＴ）とＡ−ＢＩＳＴ（＝内部電源部１１０のためのＢＩＳＴ）がある。

Ｄ−ＢＩＳＴがパスした場合には、ＳＰＩＧＯＯＤがハイレベルになり、ＯＴＰリコールが実施される。Ｄ−ＢＩＳＴで異常を検出した場合には、ＳＰＩＧＯＯＤがローレベルに維持される。そして、Ｄ−ＢＩＳＴがパスするまで、Ｄ−ＢＩＳＴが繰り返される。なお、ＳＰＩＧＯＯＤがハイレベルにならない場合、ＶＤＤＩＮの入力異常やデジタル処理部１７０の故障が考えられる。

ＯＴＰリコールが正常に終了した場合、Ａ−ＢＩＳＴが実施される。ＯＴＰリコールで異常を検出した場合、ＯＴＰリコールがパスするまで、ＯＴＰリコールが繰り返される。

Ａ−ＢＩＳＴがパスした場合、ＸＦＡＵＬＴ及びＸＷＡＲがいずれもハイレベルとされて、上記一連のＢＩＳＴが完了する。Ａ−ＢＩＳＴで異常を検出した場合、Ａ−ＢＩＳＴがパスするまで、Ａ−ＢＩＳＴが繰り返される。ＳＰＩＧＯＯＤがハイレベルであるにも関わらず、ＸＦＡＵＬＴ及びＸＷＡＲが共にハイレベルに立ち上がらない場合には、ＯＴＰリコールの異常若しくはＡ−ＢＩＳＴの異常が考えられる。

上記一連のＢＩＳＴがパスした後で、監視ＩＣ１００の全機能（電圧監視、ＵＶＤ／ＯＶＤ、ウォッチドッグタイマ）が使用可能となる。

ウォッチドッグタイマ１７７は、ＷＤＩＮピンを監視してマイコン３００の周波数異常（ＳＬＯＷ異常及びＦＡＳＴ異常）を検出し、その検出結果を通知コントローラ１７４に伝える。

＜クロック検出部＞
図５は、クロック検出部１７３の一構成例を示すブロック図である。本構成例のクロック検出部１７３は、分周器１７３ａと低周波数異常検出部１７３ｂ及び１７３ｃを含む。

分周器１７３ａは、発振周波数ｆ１のクロック信号ＣＬＫ１を分周して、発振周波数ｆ３（＜ｆ２）のクロック信号ＣＬＫ３を生成する。

低周波数異常検出部１７３ｂ（＝第１低周波数異常検出部に相当）は、発振周波数ｆ２のクロック信号ＣＬＫ２を用いてクロック信号ＣＬＫ３の低周波数異常を検出する。

低周波数異常検出部１７３ｃ（＝第２低周波数異常検出部に相当）は、クロック信号ＣＬＫ１を用いてクロック信号ＣＬＫ２の低周波数異常を検出する。

このように、本構成例のクロック検出部１７３では、分周器１７３ａの導入により、クロック信号ＣＬＫ１よりも高周波数のクロック信号を用意することなく、クロック信号ＣＬＫ１及びＣＬＫ２相互間での周波数監視を実現している。以下、低周波数異常検出部１７３ｂ及び１７３ｃそれぞれの判定動作について、個別具体的に説明する。

図６は、低周波数異常検出部１７３ｂの判定動作を示す図である。なお、以下の説明では、クロック信号ＣＬＫ３の一周期中におけるクロック信号ＣＬＫ２のパルス数をＣＮＴとし、低周波数異常検出値をＣＮＴｓ（例えばＣＮＴｓ＝１０）とする。

本図上段で示したように、ＣＮＴ＜ＣＮＴｓ（例えばＣＮＴ＝６）であるときには、クロック信号ＣＬＫ２及びＣＬＫ３（延いてはクロック信号ＣＬＫ１）がいずれも正常であると判定される。

一方、本図中段及び下段で示したように、ＣＮＴｓ＜ＣＮＴ（例えばＣＮＴ＝１２）となったときには、クロック信号ＣＬＫ３（延いてはクロック信号ＣＬＫ１）の低周波数異常、若しくは、クロック信号ＣＬＫ２の高周波数異常であると判定される。

このように、低周波数異常検出部１７３ｂでは、監視される側のクロック信号ＣＬＫ３（延いてはクロック信号ＣＬＫ１）について、その低周波数異常を検出するだけでなく、逆に、監視する側のクロック信号ＣＬＫ２についても、その高周波数異常を検出することができる。従って、クロック検出部１７３の回路規模縮小に貢献することができる。

図７は、低周波数異常検出部１７３ｃの判定動作を示す図である。なお、以下の説明では、クロック信号ＣＬＫ２の一周期中におけるクロック信号ＣＬＫ１のパルス数をＣＮＴとし、低周波数異常検出値をＣＮＴｓ（例えばＣＮＴｓ＝１０）とする。

本図上段で示したように、ＣＮＴ＜ＣＮＴｓ（例えばＣＮＴ＝６）であるときには、クロック信号ＣＬＫ１及びＣＬＫ２がいずれも正常であると判定される。

一方、本図中段及び下段で示したように、ＣＮＴｓ＜ＣＮＴ（例えばＣＮＴ＝１２）となったときには、クロック信号ＣＬＫ２の低周波数異常、若しくは、クロック信号ＣＬＫ１の高周波数異常であると判定される。

このように、低周波数異常検出部１７３ｃでは、監視される側のクロック信号ＣＬＫ２について、その低周波数異常を検出するだけでなく、逆に、監視する側のクロック信号ＣＬＫ１についても、その高周波数異常を検出することができる。従って、クロック検出部１７３の回路規模縮小に貢献することができる。

特に、ＩＳＯ２６２６２に対応するためには、各モジュールの異常検出と従属故障の回避が不可欠であり、オシレータ１６１及び１６２双方の異常を相互に監視することのできるクロック検出部１７３は、極めて有用であると言える。

ただし、クロック信号ＣＬＫ１の発振周波数ｆ１がデジタル処理部１７０の動作上限周波数ｆＨ（＝デジタル処理部１７０の正常動作が保証される発振周波数ｆ１の上限値）を上回るほど高い場合には、上記したクロック信号ＣＬＫ１及びＣＬＫ２の相互監視機能が正しく働かなくなるおそれがある。

例えば、オシレータ１６１及び１６２では、記憶部１５０に格納された周波数トリミングデータに基づいて、クロック信号ＣＬＫ１及びＣＬＫ２それぞれの発振周波数ｆ１及びｆ２がトリミング（微調整）される。そのため、オシレータ１６１及び１６２それぞれが正しく動作するためには、その大前提として、ＯＴＰコントローラ１７２（延いてはロジック処理部１７０）が正しく動作していなければならない。

しかしながら、オシレータ１６１の過度な高周波数異常（ｆ１＞ｆＨ）が生じると、ＯＴＰコントローラ１７２の誤動作（＝意図しないアドレスへのアクセスなど）を招き得るので、クロック信号ＣＬＫ２の発振周波数ｆ２にも影響を及ぼすおそれがある。このような状況に陥ると、クロック信号ＣＬＫ１及びＣＬＫ２の相互監視結果は、もはや信頼のおけるものではなくなるので、オシレータ１６１の故障を看過してシステム全体の安全性を損なうおそれがある。

そこで、以下では、オシレータ１６１の周波数異常時（特に、デジタル処理部１７０の誤動作を招き得るほど過度な高周波数異常時）における安全性を高めることのできる第２実施形態について提案する。

＜監視ＩＣ（第２実施形態）＞
図８は、監視ＩＣ１００の第２実施形態を示す図である。本実施形態の監視ＩＣ１００では、先出の第１実施形態を基礎としつつ、発振部１６０の後段に周波数異常保護回路Ａが導入されている。

周波数異常保護回路Ａは、クロック信号ＣＬＫ１の伝達経路上（＝オシレータ１６１とデジタル処理部１７０との間）に設けられており、クロック信号ＣＬＫ１を用いるデジタル処理部１７０が誤動作するほどクロック信号ＣＬＫ１の発振周波数ｆ１が高いときに、クロック信号ＣＬＫ１のパルスを遮断する。

より具体的に述べると、周波数異常保護回路Ａは、クロック信号ＣＬＫ１のパルス遮断手段としてフィルタＡ１を含む。フィルタＡ１としては、例えば、クロック信号ＣＬＫ１の周波数成分のうち、カットオフ周波数ｆｃよりも低い周波数成分を通過して、カットオフ周波数ｆｃよりも高い周波数成分を遮断するローパスフィルタが好適である。ただし、クロック信号ＣＬＫ１のパルスを適切に遮断することができるのであれば、フィルタＡ１に代えて、その他のパルス遮断手段を用いてもよい。

図９は、カットオフ周波数ｆｃの一設定例を示す図である。本図で示すように、カットオフ周波数ｆｃは、デジタル処理部１７０の動作上限周波数ｆＨ以下に設定するとよい。このような設定によれば、オシレータ１６１が故障してｆ１＞ｆｃとなったときに、クロック信号ＣＬＫ１のパルスが遮断される（図中のｆ１（ＶＥＲＹ ＦＡＳＴ）を参照）。従って、デジタル処理部１７０の動作上限周波数ｆＨを上回るクロック信号ＣＬＫ１がデジタル処理部１７０に供給されることはないので、デジタル処理部１７０の誤動作を未然に防止することが可能となる。

なお、クロック信号ＣＬＫ１のパルスが遮断されると、ＯＴＰコントローラ１７２を含むデジタル処理部１７０全体が一切動作しない状態、すなわち、監視ＩＣ１００のコンフィグレーションが完了せずに、監視ＩＣ１００の動作が開始しない状態となる。

そこで、マイコン３００では、電子機器１のシステム起動後、監視ＩＣ１００の動作が開始しないときに異常と判定することが望ましい。このような構成であれば、デジタル処理部１７０が誤動作するほどクロック信号ＣＬＫ１の発振周波数ｆ１が高いときには、もはや信頼のおけないクロック検出部１７３の検出結果に頼ることなく、監視ＩＣ１００の異常をマイコン３００に通知することができる。従って、オシレータ１６１が故障しているにも関わらず、その事実をマイコン３００で把握することができない、という最悪の事態を回避することが可能となる。

また、カットオフ周波数ｆｃは、クロック検出部１７３におけるクロック信号ＣＬＫ１のＦＡＳＴ異常検出値ｆ１（ＦＡＳＴ）よりも高い周波数に設定するとよい。このような設定によれば、クロック信号ＣＬＫ１の高周波数異常（ｆ１＞ｆ１（ＦＡＳＴ））が生じた場合であっても、デジタル処理部１７０が正常に動作する周波数範囲（ｆ１＜ｆｃ）であれば、クロック信号ＣＬＫ１のパルスが遮断されないので、クロック信号ＣＬＫ１及びＣＬＫ２の相互監視を有効に機能させることが可能となる。

＜車両への適用＞
図１０は、車両Ｘの一構成例を示す外観図である。本構成例の車両Ｘは、バッテリから電力供給を受けて動作する種々の電子機器（車載機器）Ｘ１１〜Ｘ１８を搭載している。なお、本図における電子機器Ｘ１１〜Ｘ１８の搭載位置については、図示の便宜上、実際とは異なる場合がある。

電子機器Ｘ１１は、エンジンに関連する制御（インジェクション制御、電子スロットル制御、アイドリング制御、酸素センサヒータ制御、及び、オートクルーズ制御など）を行うエンジンコントロールユニットである。

電子機器Ｘ１２は、ＨＩＤ［high intensity discharged lamp］やＤＲＬ［daytime running lamp］などの点消灯制御を行うランプコントロールユニットである。

電子機器Ｘ１３は、トランスミッションに関連する制御を行うトランスミッションコントロールユニットである。

電子機器Ｘ１４は、車両Ｘの運動に関連する制御（ＡＢＳ［anti-lock brake system］制御、ＥＰＳ［electric power steering］制御、電子サスペンション制御など）を行う制動ユニットである。

電子機器Ｘ１５は、ドアロックや防犯アラームなどの駆動制御を行うセキュリティコントロールユニットである。

電子機器Ｘ１６は、ワイパー、電動ドアミラー、パワーウィンドウ、ダンパー（ショックアブソーバー）、電動サンルーフ、及び、電動シートなど、標準装備品やメーカーオプション品として、工場出荷段階で車両Ｘに組み込まれている電子機器である。

電子機器Ｘ１７は、車載Ａ／Ｖ［audio/visual］機器、カーナビゲーションシステム、及び、ＥＴＣ［electronic toll collection system］など、ユーザオプション品として任意で車両Ｘに装着される電子機器である。

電子機器Ｘ１８は、車載ブロア、オイルポンプ、ウォーターポンプ、バッテリ冷却ファンなど、高耐圧系モータを備えた電子機器である。

なお、先に説明した監視ＩＣ１００は、電子機器Ｘ１１〜Ｘ１８のいずれにも組み込むことが可能である。

＜その他の変形例＞
なお、上記の実施形態では、車載機器に搭載される監視ＩＣを例に挙げたが、その適用対象はこれに限定されるものではなく、電子機器全般に広く適用することが可能である。

また、本明細書中に開示されている種々の技術的特徴は、上記実施形態のほか、その技術的創作の主旨を逸脱しない範囲で種々の変更を加えることが可能である。すなわち、上記実施形態は、全ての点で例示であって制限的なものではないと考えられるべきであり、本発明の技術的範囲は、上記実施形態に限定されるものではなく、特許請求の範囲と均等の意味及び範囲内に属する全ての変更が含まれると理解されるべきである。

本明細書中に開示されている発明は、例えば、機能安全が求められる電子機器全般（車載用のカメラ、レーダー、インフォテイメント、ランプ、クラスタ、パワートレイン、及び、センサフュージョンなど）に利用することが可能である。

１ 電子機器
１００ 監視ＩＣ（監視装置）
１０１ 樹脂封止体
１０２ 外部端子
１０３ アイランド（放熱パッド）
１０３ａ 切欠部
１１０ 内部電源部
１１１ プリレギュレータ
１１２ レギュレータ
１１３、１１４ 基準電圧生成部
１２０ 入力調整部
１２１〜１２６ 分圧部
１３０ 入力選択部
１４０ Ａ／Ｄコンバータ
１５０ 記憶部（ＯＴＰ）
１６０ 発振部
１６１ オシレータ（デジタル処理用）
１６２ オシレータ（ウォッチドッグタイマ用）
１７０ デジタル処理部
１７１ Ａ／Ｄコントローラ
１７２ ＯＴＰコントローラ
１７３ クロック検出部
１７３ａ 分周器
１７３ｂ、１７３ｃ 低周波数異常検出部
１７４ 通知コントローラ
１７５ ＳＰＩインタフェイス
１７６ 自己診断部
１７７ ウォッチドッグタイマ
１８０ 入出力部
１９０ ＡＮＤゲート
２００ パワーマネジメントＩＣ（電源装置）
３００ マイコン
Ａ 周波数異常保護回路
Ａ１ フィルタ
Ｃ１、Ｃ２ キャパシタ
Ｒ１〜Ｒ３ 抵抗
Ｘ 車両
Ｘ１１〜Ｘ１８ 電子機器

Claims (10)

1. クロック信号を用いる後段回路が誤動作するほど前記クロック信号の発振周波数が高いときに前記クロック信号のパルスを遮断することを特徴とする周波数異常保護回路。
2. 前記クロック信号のパルス遮断手段としてローパスフィルタを含むことを特徴とする請求項１に記載の周波数異常保護回路。
3. 前記ローパスフィルタのカットオフ周波数は、前記後段回路の動作上限周波数以下であることを特徴とする請求項２に記載の周波数異常保護回路。
4. 前記クロック信号を生成するオシレータと、
   前記クロック信号を用いるデジタル処理部と、
   前記オシレータと前記デジタル処理部との間に設けられた請求項１〜請求項３のいずれか一項に記載の周波数異常保護回路と、
   を有することを特徴とする半導体装置。
5. 第２クロック信号を生成する第２オシレータをさらに有し、
   前記デジタル処理部は、前記クロック信号及び前記第２クロック信号の相互監視を行うことを特徴とする請求項４に記載の半導体装置。
6. 前記オシレータ及び前記第２オシレータそれぞれの周波数トリミングデータを格納する記憶部をさらに有し、
   前記デジタル処理部は、前記クロック信号を用いて前記記憶部のアクセス制御を行うことを特徴とする請求項５に記載の半導体装置。
7. 入力電圧監視機能及びウォッチドッグタイマ機能を備えることを特徴とする請求項４〜請求項６のいずれか一項に記載の半導体装置。
8. 電源装置と、
   マイコンと、
   前記電源装置及び前記マイコンの異常を監視する請求項７に記載の半導体装置と、
   を有する電子機器。
9. 前記マイコンは、前記半導体装置の動作が開始しないときに異常と判定することを特徴とする請求項８に記載の電子機器。
10. 請求項８または請求項９に記載の電子機器を有する車両。

Images