JP2022051361A - 半導体装置 - Google Patents

Abstract

【課題】機能ブロックの回路規模が大きくなっても単純なＤＣＬＳ化による回路規模の増大を避けながら、故障の発生後所定の期間内に故障検出が可能な半導体装置を提供する。【解決手段】実施形態の半導体装置１は、ハードウエアアクセラレータ３，４と、ＤＣＬＳ（デュアルコアロックステップ）コントローラ５と、を有する。ＤＣＬＳコントローラ５は、を複数の実行周期の各実行周期ｔｐ内にそれぞれの第１の機能及び第２の機能を実現するように動作させると共に、故障検出時間間隔（ＦＤＴＩ）内に含まれる複数の実行周期ｔｐにおいて、ハードウエアアクセラレータ３，４をデュアルコアロックステップ構成で動作させる実行周期ｔｐのタイミングを決定する。【選択図】図１

Description

本発明の実施形態は、半導体装置に関する。

近年、製品安全製担保の取り組みとして、機能安全が注目されている。例えば、国際標準機構（ＩＳＯ）は、自動車に関する機能安全を規定するＩＳＯ２６２６２を発表している。

そのＩＳＯ２６２６２では、装置に故障が発生してからその故障の検出までの所定の時間として、故障検出時間間隔（ＦＤＴＩ：Ｆａｕｌｔ Ｄｅｔｅｃｔｉｏｎ Ｔｉｍｅ Ｉｎｔｅｒｖａｌ；以下、ＦＤＴＩと略す）が定義されている。ＦＤＴＩは、自動車に搭載される半導体装置の要求仕様となる。半導体装置自体に故障が発生したときに、半導体装置がＦＤＴＩ内にその故障を検出してＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ；以下、ＥＣＵという）に通知する。これにより、ＥＣＵは、危険を回避して自動車を安全な状態にするための適切な対応をとることができる。

半導体装置自体をテストする手法として、例えばＢＩＳＴ（Ｂｕｉｌｔ－Ｉｎ Ｓｅｌｆ Ｔｅｓｔ）がある。しかし、半導体装置がＢＩＳＴ機能を有していても、半導体装置の回路規模が大きくなると、ＢＩＳＴによる自己診断処理が、ＦＤＴＩ内に終了しない虞がある。

また、故障診断のためにデュアルコアロックステップ方式（以下、ＤＣＬＳと略す）を半導体装置に採用することもできる。しかし、デュアルコアロックステップ方式の場合、機能毎に２つの回路ブロックを設けるという単純なＤＣＬＳ化を行うと、回路規模が倍になるという問題がある。

特開２０１４－５６３９６号公報

そこで、実施形態は、機能ブロックの回路規模が大きくなっても、単純なＤＣＬＳ化による回路規模の増大を避けながら、故障の発生後所定の期間内に故障検出が可能な半導体装置を提供することを目的とする。

実施形態の半導体装置は、第１及び第２の機能ブロックと、前記第１及び前記第２の機能ブロックを複数の周期の各周期内にそれぞれの第１の機能及び第２の機能を実現するように動作させると共に、所定の期間内に含まれる前記複数の周期において、前記第１及び前記第２の機能ブロックをデュアルコアロックステップ構成で動作させる周期のタイミングを決定するコントローラと、を有する。

実施形態の半導体装置のブロック図である。 実施形態における、故障検出時間間隔（ＦＤＴＩ）を説明するためのタイムチャートである。 実施形態のＥＣＣ＿ＳＲＡＭラッパーモジュールの構成を示すブロック図である。 実施形態における、２つのハードウエアアクセラレータにおいて実行される処理のタイムスケジュールを示す図である。

以下、図面を参照して実施形態を説明する。
（第１の実施形態）
（構成）
図１は、本実施形態の半導体装置のブロック図である。半導体装置１は、ここでは、車載用の半導体装置であり、画像処理を行う。半導体装置１は、複数のハードウエアアクセラレータ（以下、ＨＷＡという）を含むハードウエアアクセラレーション部２を有している。図示しないイメージセンサ又はイメージシグナルプロセッサ（以下、ＩＳＰという）からの画像データが、ハードウエアアクセラレーション部２に入力される。

半導体装置１は、所定の複数の機能を実行する。半導体装置１において故障が検出されたときには、自動車に搭載されている電子制御装置であるＥＣＵ１００にその故障発生を通知する機能も有する。

ハードウエアアクセラレーション部２は、２つのＨＷＡ３，４と、ＤＣＬＳ（デュアルコアロックステップ）コントローラ５と、２つのコンパレータ６，７と、ＥＣＣ＿ＳＲＡＭラッパーモジュール８と、セレクタ９と、２つのバッファ１０，１１とを含んでいる。図１は、ハードウエアアクセラレーション部２が、２つのＨＷＡ３，４を含む場合を示している。

各ＨＷＡ３，４は、機能ブロックである。２つのＨＷＡ３，４に入力される２つの入力データＩｎｐｕｔ０、１は、同じ画像データでもよいし、互いに異なる画像データでもよい。各ＨＷＡ３，４は、イメージセンサ又はＩＳＰからの画像データに対して、人、信号機などの物体認識などの各種処理を行う。各ＨＷＡ３，４は、複数種類の認識処理を実行可能であり、２つのＨＷＡ３，４は、同じ認識処理を実行可能であると共に、互いに異なる認識処理を実行可能でもある。

ＨＷＡ３，４は、それぞれ予め決められた実行周期ｔｐ毎にフレーム画像に対する人認識、信号機認識などの機能処理を実行する。なお、実行周期ｔｐは、非固定値の場合もある。ＨＷＡ３，４の各機能は、実行周期ｔｐ毎にＨＷＡ３，４にそれぞれ入力される第１及び第２のフレーム画像に対する処理により実現される。

例えば、各ＨＷＡ３，４が画像データに対してニューラルネットワークに基づく認識処理を行うものである場合、各ＨＷＡ３，４は、ニューラルネットワークに設定される各種パラメータを変更することによって、各種認識処理が実行可能となる。

後述するように、各ＨＷＡ３，４は、機能ブロックである。２つのＨＷＡ３，４は、互いに異なる機能を実行することができると共に、ＤＣＬＳコントローラ５によりＤＣＬＳ方式で同じ機能を実行することも可能となっている。

なお、ここでは、半導体装置１の各機能ブロックは、ＨＷＡであるが、中央処理装置（ＣＰＵ）などを含むプロセッサでもよい。

ＤＣＬＳコントローラ５は、各々が所定の実行周期ｔｐでフレーム画像に対して所定の処理を実行するように２つのＨＷＡ３，４の動作を制御する。各ＨＷＡ３，４には、ＩＳＰからフレーム単位の画像、すなわちフレーム画像が入力される。各ＨＷＡ３，４は、フレーム画像に対して所定の処理を実行する。ＨＷＡ３，４においてフレーム画像毎に実行される処理は、ＤＣＬＳコントローラ５からのリセット信号ＲＳによって設定される。また、ＨＷＡ３の出力Ｏｕｔｐｕｔ０及びＨＷＡ４の出力Ｏｕｔｐｕｔ１は、ＤＣＬＳコントローラ５に供給されている。

１つのフレーム画像に対して処理が終了した後、ＤＣＬＳコントローラ５は、垂直ブランキング期間に、ＨＷＡ３，４にリセット信号ＲＳを送信する。各ＨＷＡ３，４は、リセット信号ＲＳによりリセットされ、次のフレーム画像に対して実行する処理が指定される。リセット信号ＲＳは、次のフレーム画像に対して実行される処理内容を指定する設定パラメータデータを含む。

また、ＤＣＬＳコントローラ５は、ＦＤＴＩレジスタ５ａと、タイマ５ｂと、スケジューラ５ｃと、レジスタ群５ｄとを含む。レジスタ群５ｄには、種々のデータが格納可能となっている。例えば、各種アラーム信号、ＨＷＡ３，４の推定最長時間、等々のデータが、レジスタ群５ｄに格納可能である。

ＦＤＴＩレジスタ５ａは、ＦＤＴＩの値が格納されるレジスタである。ＦＤＴＩは、任意に設定された時間間隔であり、ＥＣＵ１００等から予め設定され格納される。ＦＤＴＩは、半導体装置１に故障が発生してからその故障を検出するまでの設定された所定の期間である。

ＦＤＴＩレジスタ５ａに格納されたＦＤＴＩの値は、タイマ５ｂに設定される。タイマ５ｂは、設定されたＦＤＴＩが経過するまでの残り時間ｔｒをカウントするカウンタを有する残り時間出力回路である。よって、タイマ５ｂは、所定のタイミングで計時を開始し、計時の開始タイミングからの経過時間をＦＤＴＩから減算して、ＦＤＴＩ内の残り時間ｔｒとして出力する。
なお、タイマ５ｂは、ＦＤＴＩの値を格納するレジスタと、フリーランカウンタとを有する残り時間出力回路によって置き換えてもよい。フリーランカウンタは、計時の開始タイミングでリセットされる。その場合、ＦＤＴＩの値を格納するレジスタの値からフリーランカウンタのカウント値を減算した値が出力される。

タイマ５ｂは、経過時間ｔｃがＦＤＴＩに一致すると、カウンタをリセットして、再び、ＦＤＴＩが経過するまでの残り時間ｔｒのカウントを行う。すなわち、タイマ５ｂは、ＦＤＴＩの経過毎に、残り時間ｔｒの計時を繰り返す。

スケジューラ５ｃは、ＦＤＴＩ内に半導体装置１の故障の発生を検出するために、タイマ５ｂの示す残り時間ｔｒに基づいて、ＨＷＡ３，４をＤＣＬＳ構成で動作させるタイミングを決定して、ＤＣＬＳ構成で動作させるようにＨＷＡ３，４を制御する。

すなわち、ＤＣＬＳコントローラ５は、ＨＷＡ３，４を実行周期ｔｐ内にそれぞれの機能を実現するように複数の実行周期ｔｐで動作させると共に、所定の期間であるＦＤＴＩ内に含まれる複数の実行周期において、ＨＷＡ３，４をデュアルコアロックステップ構成で動作させる実行周期のタイミングを決定する。特に、ＤＣＬＳコントローラ５は、ＦＤＴＩレジスタ５ａに格納されたＦＤＴＩと、タイマ５ｂから出力された残り時間ｔｒに基づいて、ＨＷＡ３，４をデュアルコアロックステップ構成で動作させる実行周期ｔｐのタイミングを決定する。

なお、ここでは、半導体装置１の故障は、断線のようなパーマネント故障を意味し、ノイズなどによるトランジット故障を含まない。トランジット故障に対しては、ＥＣＵ１００などにおいて、複数フレームの処理結果を監視するなどのＡｏＵ（Ａｓｓｕｍｐｔｉｏｎ ｏｆ Ｕｓｅ）により対処される。

図２は、ＦＤＴＩを説明するためのタイムチャートである。例えば、半導体装置１に故障（Ｆａｕｌｔ）が発生すると、故障の発生した時刻Ｔ０からＦＤＴＩ内に故障が検出されなければならない。

図２では、半導体装置１が通常動作（ｎｏｒｍａｌ ｏｐｅｒａｔｉｏｎ）しているとき、時刻Ｔ０において故障が発生したことが示されている。時刻Ｔ１でその故障が検出されている。半導体装置１の故障が検出されると、半導体装置１は、時刻Ｔ１において上位装置であるＥＣＵ１００にアラーム信号ＡＬＡＲＭを送信することによって、ＥＣＵ１００に故障の発生を通知する。

半導体装置１の故障の発生（Ｔ０）から可能性のある危険（Ｐｏｓｓｉｂｌｅ Ｈａｚａｒｄ）の発生（Ｔ３）までの期間は、フォールトトレラント時間間隔（Ｆａｕｌｔ Ｔｏｌｅｒａｎｔ Ｔｉｍｅ Ｉｎｔｅｒｖａｌ。以下、ＦＴＴＩという）である。よって、半導体装置１の故障の発生からＦＤＴＩ内にその故障が検知され、時刻Ｔ１～Ｔ２の期間であるフォールトリアクション時間（Ｆａｕｌｔ Ｒｅａｃｔｉｏｎ Ｔｉｍｅ。以下、ＦＲＴという）内に種々の対応が取られることにより、自動車は、ＦＴＴＩ内に、安全状態（Ｓａｆｅ Ｓｔａｔｅ）に移行することができる。

従って、ＥＣＵ１００は、時刻Ｔ１において、半導体装置１からアラーム信号ＡＬＡＲＭを受信すると、フォールトリアクション時間ＦＲＴ内に所定に対応を取ることにより、例えば自動運転システムにおいて、自動車を安全状態（Ｓａｆｅｔｙ Ｓｔａｔｅ）にすることができる。

スケジューラ５ｃは、ＨＷＡ３，４をＤＣＬＳ構成で動作させるタイミングを決定する回路である。スケジューラ５ｃは、タイマ５ｂの示す残り時間ｔｒと、各ＨＷＡ３，４の処理時間（後述する推定最長時間）とに基づいて、ＨＷＡ３，４をＤＣＬＳ構成で動作させるタイミングを決定する。そのタイミングの決定方法については後述する。

ＤＣＬＳコントローラ５は、ＨＷＡ３，４をＤＣＬＳ構成で動作させるとき、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを出力する。切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨは、コンパレータ６，７と、ＥＣＣ＿ＳＲＡＭラッパーモジュール８と、セレクタ９とに供給される。

また、ＤＣＬＳコントローラ５は、ＥＣＣ＿ＳＲＡＭラッパーモジュール８に対して初期化を行わせるための初期化信号Ｉｎｉｔを出力可能である。初期化信号Ｉｎｉｔは、各サイクルの最初にＥＣＣ＿ＳＲＡＭラッパーモジュール８に出力される。

コンパレータ６は、２つのＨＷＡ３，４の２つの出力を比較する回路である。コンパレータ７も、２つのＨＷＡ３，４の２つの出力を比較する回路である。コンパレータ６、７は、比較回路を有する。各コンパレータ６、７には、２つのＨＷＡ３，４の２つの出力が入力される。各コンパレータ６、７は、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを受信しているとき、２つのＨＷＡ３，４の２つの出力を比較する。各コンパレータ６、７の出力は、２つのＨＷＡ３，４の２つの出力が一致しないとき、アラーム信号ＤＣＬＳ＿ＡＬＡＲＭをＤＣＬＳコントローラ５へ出力する。なお、各コンパレータ６、７は、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを受信していないときは、同じ値、例えば「０」を出力する。

アラーム信号ＤＣＬＳ＿ＡＬＡＲＭは、ＨＷＡ３，４のいずれかが故障している可能性があることを示す。

コンパレータ６，７の出力は、コンパレータ１２（点線で示す）に入力される。コンパレータ１２は、２つのコンパレータ６、７の２つの出力信号を比較する比較回路である。コンパレータ１２は、例えば排他的論理和（ＸＯＲ）回路である。コンパレータ１２は、２つのコンパレータ６、７の２つの出力を比較する。コンパレータ１２は、２つのコンパレータ６、７の２つの出力が一致しないとき、アラーム信号ＣＭＰ＿ＬＦ＿ＡＬＡＲＭをＤＣＬＳコントローラ５へ出力する。

アラーム信号ＣＭＰ＿ＬＦ＿ＡＬＡＲＭは、コンパレータ６又は７が故障している可能性があることを示す。
ここでは、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを受信しているときにのみ、コンパレータ６，７，１２は、比較を行い、比較結果信号としてのアラーム信号ＤＣＬＳ＿ＡＬＡＲＭ及びコンパレータ１２からのアラーム信号ＣＭＰ＿ＬＦ＿ＡＬＡＲＭをＤＣＬＳコントローラ５へ出力しているが、コンパレータ６，７，１２が、常時比較を行い、その比較結果を出力するようにしてもよい。その場合は、ＤＣＬＳコントローラ５において、コンパレータ６，７からの比較結果を受信するか受信しないかのマスク処理が行われる。

ＤＣＬＳコントローラ５は、内部のレジスタ群５ｄの所定の２つのレジスタに、アラーム信号ＤＣＬＳ＿ＡＬＡＲＭとアラーム信号ＣＭＰ＿ＬＦ＿ＡＬＡＲＭのデータを格納可能となっている。

ＤＬＣＳコントローラ５は、アラーム信号ＤＣＬＳ＿ＡＬＡＲＭとアラーム信号ＣＭＰ＿ＬＦ＿ＡＬＡＲＭのいずれかを受信すると、レジスタ群５ｄの所定の２つのレジスタに格納すると共に、ＥＣＵ１００へアラーム信号ＡＬＡＲＭを出力する。

すなわち、ＤＬＣＳコントローラ５は、ＨＷＡ３，４がデュアルコアロックステップ構成で動作しているときに、コンパレータ６、７による比較の結果、ＨＷＡ３の出力とＨＷＡ４の出力が一致しないときに、アラーム信号ＡＬＡＲＭを出力する。特に、ＤＬＣＳコントローラ５は、ＨＷＡ３，４がデュアルコアロックステップ構成で動作しているときにのみ、コンパレータ６、７による比較の結果に基づいて、アラーム信号ＡＬＡＲＭを出力する。

さらに、ＤＬＣＳコントローラ５は、コンパレータ６の比較結果とコンパレータ７の比較結果とが一致しないときにも、アラーム信号ＡＬＡＲＭを出力する。

ＥＣＵ１００は、アラーム信号ＡＬＡＲＭを受信すると、自動車をＦＴＴＩ内に安全状態（Ｓａｆｅ Ｓｔａｔｅ）に移行させるための所定の処理を実行する。また、ＥＣＵ１００は、アラーム信号ＤＣＬＳ＿ＡＬＡＲＭとアラーム信号ＣＭＰ＿ＬＦ＿ＡＬＡＲＭのデータを、ＤＣＬＳコントローラ５のレジスタから読み出すことができる。

よって、ＥＣＵ１００は、アラーム信号ＡＬＡＲＭを受信すると、ＤＣＬＳコントローラ５にレジスタ群５ｄのデータを要求する。ＥＣＵ１００は、受信したレジスタ群５ｄのデータに基づいて、アラーム信号ＡＬＡＲＭの発生が、アラーム信号ＤＣＬＳ＿ＡＬＡＲＭとアラーム信号ＣＭＰ＿ＬＦ＿ＡＬＡＲＭのいずれによるかを判定することができる。

ＤＬＣＳコントローラ５は、ＥＣＣ＿ＳＲＡＭラッパーモジュール８内のＳＲＡＭのデータを初期化するための初期化信号Ｉｎｉｔを出力可能となっている。

ＥＣＣ＿ＳＲＡＭラッパーモジュール８は、ＨＷＡ３，４において使用されるデータの書き込み及び読み出し時に使用されるメモリであり、かつデータの書き込み時及び読み出し時にエラーの検出をすることができる。

図３は、ＥＣＣ＿ＳＲＡＭラッパーモジュール８の構成を示すブロック図である。ＥＣＣ＿ＳＲＡＭラッパーモジュール８は、２つのＥＣＣ＿ＳＲＡＭ２１，２２と、３つのセレクタ２３，２４，２５を含む。

ＥＣＣ＿ＳＲＡＭ２１，２２は、エラー訂正機能付きのＳＲＡＭである。ＥＣＣ＿ＳＲＡＭ２１，２２は、それぞれＨＷＡ３，４が処理するデータの書き込み時には、エラー訂正コードを付加してデータを格納する。ＥＣＣ＿ＳＲＡＭ２１，２２は、それぞれＨＷＡ３，４によるデータの読み出し時には、エラー訂正符号を用いて、エラーの検出及び訂正を行う。

すなわち、ＥＣＣ＿ＳＲＡＭラッパーモジュール８は、ＨＷＡ３，４がそれぞれデータの書き込み及び読み出しのために用いるＥＣＣ＿ＳＲＡＭ２１，２２を有する。ＥＣＣ＿ＳＲＡＭ２１，２２は、各々がデータのエラー訂正機能を有する揮発性のメモリである。

ＥＣＣ＿ＳＲＡＭラッパーモジュール８は、ＥＣＣ＿ＳＲＡＭ２１，２２においてエラー訂正出来なかったときには、アラーム信号ＥＣＣ＿ＡｌａｒｍをＤＣＬＳコントローラ５に出力する（図１）。

また、ＥＣＣ＿ＳＲＡＭラッパーモジュール８は、ＥＣＣ＿ＳＲＡＭ２１，２２を初期化する初期化信号Ｉｎｉｔを受けると、ＥＣＣ＿ＳＲＡＭ２１，２２の初期化を行う（図１）。初期化信号Ｉｎｉｔを受けると、ＥＣＣ＿ＳＲＡＭ２１，２２内のデータは、初期値になる。

セレクタ２３は、ＨＷＡ３と４への書き込みデータを入力して、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨの有無に基づいて、ＨＷＡ３または４からのいずれかのデータを選択してＥＣＣ＿ＳＲＡＭ２２へ出力する。切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを受信していないときは、セレクタ２３は、ＨＷＡ４からのデータを選択してＥＣＣ＿ＳＲＡＭ２２へ供給する。切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを受信しているときは、セレクタ２３は、ＨＷＡ３からのデータを選択してＥＣＣ＿ＳＲＡＭ２２へ供給する。

ＥＣＣ＿ＳＲＡＭ２２は、セレクタ２３を介してＨＷＡ３または４からのデータを格納する。ＥＣＣ＿ＳＲＡＭ２２には、エラー訂正コードが付加されたデータが格納される。

ＥＣＣ＿ＳＲＡＭ２１は、ＨＷＡ３からのデータを格納する。ＥＣＣ＿ＳＲＡＭ２１にも、エラー訂正コードが付加されたデータが格納される。

各セレクタ２４，２５は、ＥＣＣ＿ＳＲＡＭ２１と２２からの２つのデータを入力し、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨに基づいて、ＥＣＣ＿ＳＲＡＭ２１と２２からの２つのデータのいずれか１つを選択して出力する。

各セレクタ２３，２４，２５は、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを受信していないときは、ＨＷＡ３からのデータをＥＣＣ＿ＳＲＡＭ２１に書き込み、ＥＣＣ＿ＳＲＡＭ２１からのデータをＨＷＡ３へ出力するように制御される。同様に、各セレクタ２３，２４，２５は、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを受信していないときは、ＨＷＡ４からのデータをＥＣＣ＿ＳＲＡＭ２２に書き込み、ＥＣＣ＿ＳＲＡＭ２２からのデータをＨＷＡ４へ出力するように制御される。

また、各セレクタ２３，２４，２５は、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを受信しているときは、ＨＷＡ３からのデータをＥＣＣ＿ＳＲＡＭ２１と２２に書き込み、ＥＣＣ＿ＳＲＡＭ２１と２２からのデータをそれぞれＨＷＡ４と３へ出力するように制御される。すなわち、ＨＷＡ３，４をデュアルコアロックステップ構成で動作させる実行周期のタイミングで、ＥＣＣ＿ＳＲＡＭ２１，２２には、同じデータが入力される。

図１に戻り、セレクタ９は、ＤＣＬＳコントローラ５からの切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨに応じて、ＨＷＡ４への入力を、入力信号Ｉｎｐｕｔ１から入力信号Ｉｎｐｕｔ０へ切り替える回路である。セレクタ９は、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを受信している間、入力信号Ｉｎｐｕｔ０をＨＷＡ４へ供給する。

すなわち、半導体装置１は、ＨＷＡ３，４へ入力される２つの入力のいずれかを選択するセレクタ（９）を有する。ＤＣＬＳコントローラ５は、ＨＷＡ３，４をデュアルコアロックステップ構成で動作させる実行周期のタイミングで、ＨＷＡ３，４に同じ入力が入力されるようにセレクタ９を制御する。

バッファ１０が、入力信号Ｉｎｐｕｔ０を遅延させるためにセレクタ９の入力側に設けられている。バッファ１０は、入力信号Ｉｎｐｕｔ０を一時的に格納して、入力信号Ｉｎｐｕｔ０をセレクタ９へ出力するまでの時間を所定時間だけ遅延させる回路である。

バッファ１１が、ＨＷＡ３とコンパレータ６の間に設けられている。バッファ１１は、ＨＷＡ３の出力をコンパレータ６へ出力するまでの時間を所定時間だけ遅延させる回路である。

２つのバッファ１０，１１は、機能安全の判定をより精度良く行うために、入力される信号を一時的に格納して、出力信号として出力するまでの時間を遅延させる回路である。

よって、バッファ１０は、Ｉｎｐｕｔ０を所定時間だけ遅らせてＨＷＡ４へ供給する。バッファ１１は、ＨＷＡ３の出力を所定時間だけ遅らせてコンパレータ６、７に供給する。

なお、バッファ１０，１１は、機能安全の判定を、より高い確度で行うために設けたものであり、設けなくてもよい。

図４は、ＨＷＡ３，４において実行される処理のタイムスケジュールを示す図である。上述したように、各ＨＷＡ３，４は、それぞれ予め決められた実行周期ｔｐ毎にフレーム画像に対する所定の処理（人認識、信号機認識など）を実行する。

具体的には、ＤＣＬＳコントローラ５は、各実行周期ｔｐの最初に（例えば垂直ブランキング期間に）、リセット信号ＲＳをＨＷＡ３，４に出力する。各ＨＷＡ３，４には、実行周期ｔｐ毎に所定の機能の処理がされるように、フレーム画像が入力される。ＨＷＡ３，４は、それぞれ、フレーム画像に対して所定の処理を実行して、認識結果を出力Ｏｕｔｐｕｔ０，１として出力する。例えば、ＨＷＡ３は、人認識処理を実行し、ＨＷＡ４は、信号機認識処理を実行する。各ＨＷＡ３，４は、実行周期ｔｐ毎に認識結果を出力する。

また、半導体装置１に故障が発生したとき、ＤＣＬＳコントローラ５は、ＦＤＴＩ内にその故障の発生を検出してアラームをＥＣＵ１００へ通知しなければならない。よって、ＤＣＬＳコントローラ５は、ＨＷＡ３，４の動作中に故障が発生したときに、ＦＤＴＩ内にその故障の発生を検出してアラームＡＬＡＲＭをＥＣＵ１００へ通知できるように、ＨＷＡ３，４をＤＣＬＳ構成で動作させる。

具体的には、ＤＣＬＳコントローラ５のスケジューラ５ｃは、タイマ５ｂの残り時間ｔｒに基づいて、ＤＣＬＳ構成でＨＷＡ３，４を実行させるタイミング（以下、ＤＣＬＳ構成実行タイミングともいう）を決定する。すなわち、ＤＣＬＳコントローラ５は、ＦＤＴＩ内にＨＷＡ３，４の故障の有無を判定するように、ＤＣＬＳ構成実行タイミングを決定する。

図４の場合、実行周期ｔｐが、時刻ｔ１，ｔ２，・・・において始まり、各実行周期ｔｐ内において認識処理が実行され、認識結果が出力Ｏｕｔｐｕｔ０，１としてＨＷＡ３，４から出力されている。

図４では、タイマ５ｂは、ＦＤＴＩの時刻ｔ１に近い時刻ｔ０で残り時間ｔｒの計時が開始されている。その後、タイマ５ｂは、ＦＤＴＩが経過すると、再び、残り時間ｔｒの計時を開始する。よって、タイマ５ｂは、ＦＤＴＩ毎に、残り時間ｔｒの出力をする。

ＤＣＬＳコントローラ５は、タイマ５ｂの計時が開始された後の最初の実行周期の開始時刻ｔ１において、残り時間ｔｒ内において何番目の実行周期で、ＨＷＡ３，４をＤＣＬＳ構成で動作させるかを決定すると共に、リセット信号ＲＳを出力する。

図４の場合、各実行周期内における各ＨＷＡ３，４の処理時間ＰＴ０，ＰＴ１を考慮して、ＨＷＡ３，４をＤＣＬＳ構成で動作させるタイミングは、ＦＤＴＩの終わりに近い第４実行周期４Ｃで実行可能であると判定されている。処理時間ＰＴ０，ＰＴ１は、ＨＷＡ３，４において実行される機能に応じて異なるので、推定される最も長く掛かる推定最長時間に基づいて、どの実行周期で、ＨＷＡ３，４をＤＣＬＳ構成で動作させるかが決定される。推定最長時間は、ＤＣＬＳコントローラ５のレジスタ群５ｄの所定のレジスタに予め設定されていてもよいし、ＤＣＬＳコントローラ５において実測された各ＨＷＡ３，４の過去の最長処理時間から選択あるいは推定されてレジスタ群５ｄの所定のレジスタに設定された値でもよい。

時刻ｔ２においても、ＤＣＬＳコントローラ５は、タイマ５ｂが示す残り時間ｔｒ内において何番目の実行周期で、ＨＷＡ３，４をＤＣＬＳ構成で動作させるかを決定すると共に、リセット信号ＲＳを出力する。その結果、ＨＷＡ３，４は、それぞれリセット信号ＲＳに基づいて所定の処理を実行する。時刻ｔ２においても、ＦＤＴＩの終わりに近い第４実行周期４Ｃで実行可能であると判定されている。

同様に、時刻ｔ３においても、ＤＣＬＳコントローラ５は、残り時間ｔｒ内において何番目の実行周期で、ＨＷＡ３，４をＤＣＬＳ構成で動作させるかを決定すると共に、リセット信号ＲＳを出力する。その結果、ＨＷＡ３，４は、それぞれリセット信号ＲＳに基づいて所定の処理を実行する。時刻ｔ３においても、ＦＤＴＩの終わりに近い第４実行周期４Ｃで実行可能であると判定されている。

そして、時刻ｔ４になると、ＤＣＬＳコントローラ５は、残り時間ｔｒ内において何番目の実行周期で、ＨＷＡ３，４をＤＣＬＳ構成で動作させるかを決定するが、残り時間ｔｒ内に、ＨＷＡ３，４をＤＣＬＳ構成で動作させると判定されている。ここでは、残り時間ｔｒ内に２以上の推定最長時間を含まれ得ないと判断されて、第４実行周期４Ｃで、ＨＷＡ３，４をＤＣＬＳ構成で動作している。

よって、ＤＣＬＳコントローラ５は、時刻ｔ１，ｔ２，ｔ３では、リセット信号ＲＳのみをＨＷＡ３，４に出力しているが、第４実行周期４Ｃの開始タイミングの時刻ｔ４において、ＨＷＡ３，４をＤＣＬＳ構成で動作させるように、リセット信号ＲＳと、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨとをＨＷＡ３，４に出力する。

タイマ５ｂは、残り時間ｔｒが０になる度にリセットされる。タイマ５ｂは、リセットされると、ＦＤＴＩの残り時間ｔｒの出力を、再び開始する。

図４に示すように、時刻ｔ４の次の時刻ｔ５以後も、上述した時刻ｔ１以降の処理と同様の判定が行われる。

なお、ここでは、ＤＣＬＳコントローラ５は、各時刻ｔ１，ｔ２，ｔ３，ｔ４において、第４実行周期４ＣにおいてＨＷＡ３，４をＤＣＬＳ構成で動作させることを決定し、各実行周期におけるＨＷＡ３，４の動作をスケジューリングしているが、時刻ｔ１において、第１実行周期１Ｃ、第２実行周期２Ｃ又は第３実行周期３ＣのいずれかにおいてＨＷＡ３，４をＤＣＬＳ構成で動作させることを決定してスケジューリングし、時刻ｔ１後は、その決定した実行周期にＨＷＡ３，４をＤＣＬＳ構成で動作させるようにしてもよい。

さらになお、ＤＣＬＳコントローラ５は、ＨＷＡ３の出力Ｏｕｔｐｕｔ０及びＨＷＡ４の出力Ｏｕｔｐｕｔ１の有無に基づいて、残り時間ｔｒが０になってもＤＣＬＳ構成の動作を終了していないことを判定することができる。よって、ＤＣＬＳコントローラ５は、スケジューラ５ｃにより決定された実行周期（上記の例では第４実行周期４Ｃ）においてＨＷＡ３，４がＤＣＬＳ構成で動作するが、ＨＷＡ３，４の少なくとも一方が残り時間ｔｒが０になってもＤＣＬＳ構成の動作を終了していなかったときは、ＤＣＬＳコントローラ５は、アラーム信号ＡＬＡＲＭをＥＣＵ１００へ出力する。ＤＣＬＳコントローラ５は、レジスタ群５ｄの所定のレジスタ内に、故障検出が出来なかったことを示す状態フラグを保持する。

ＥＣＵ１００では、アラーム信号ＡＬＡＲＭを受信すると、所定の処理を実行する。ＥＣＵ１００は、レジスタ群５ｄ内の各レジスタを参照して、アラーム信号ＡＬＡＲＭの出力の原因情報を取得することができる。

また、上述した実施形態では、ハードウエアアクセラレーション部２は、２つのＨＷＡ３，４を有しているが、４以上（４，６，８，・・・等の偶数）でもよい。

例えば、４以上のＨＷＡの場合は、ＤＣＬＳコントローラ５は、一対のＨＷＡ毎にＤＣＬＳ構成で動作させるタイミングを決定する。

以上のように、ＤＣＬＳコントローラ５は、スケジューラ５ｃにより、ＦＤＴＩ内においてＨＷＡ３，４をＤＣＬＳ構成で動作させるタイミングを決定する。その決定されたＤＣＬＳ構成実行タイミングでＨＷＡ３，４をＤＣＬＳ構成で動作させるので、ＨＷＡ３，４に故障があったときに、ＤＣＬＳコントローラ５は、ＦＤＴＩ内においてアラーム信号ＡＬＡＲＭをＥＣＯ１００へ出力することができる。

ＤＣＬＳコントローラ５のスケジューラ５ｃは、ＦＤＴＩレジスタ５ａの値と、タイマ５ｂの情報から、ＨＷＡ３，４をＤＣＬＳ構成で動作させるタイミングを決定する、すなわちスケジューリングを行う。

ＨＷＡ３，４をＤＣＬＳ構成で動作させるタイミングにおいて、ＤＣＬＳコントローラ５は、切り替え信号ＤＣＬＳ＿ＳＷＩＴＣＨを、セレクタ９に出力することによって、ＨＷＡ３，４をＤＣＬＳ構成で動作させるようにして、ＤＣＬＳ構成と非ＤＣＬＳ構成を動的に切り替えている。

ＤＣＬＳコントローラ５は、ＦＤＴＩの周期に合わせて、決定した１つの実行周期において、２つのＨＷＡ３，４をＤＣＬＳ構成で動作させる。２つのＨＷＡ３，４をＤＣＬＳ構成で動作させているときは、２つのＨＷＡ３，４は、同じ入力に対して同じ処理を実行するので、１機能しか実行されない。

しかし、ＤＣＬＳコントローラ５は、ＨＷＡ３，４をＤＣＬＳ構成で動作させる１つの実行周期以外の各実行周期では、ＨＷＡ３，４のＤＣＬＳ構成を解除して、２つのＨＷＡ３，４に２つの処理を実行可能としている。ＨＷＡ３，４のＤＣＬＳ構成が解除されているときは、２つのＨＷＡ３，４は、互いに異なる入力に対して処理を実行したり、互いに異なる処理が実行したりすることができるので、２機能が実行可能である。

また、ＤＣＬＳコントローラ５は、各種アラーム信号ＤＣＬＳ＿ＡＬＡＲＭ、ＣＭＰ＿ＬＦ＿ＡＬＡＲＭの出力を統括することができる。たとえコンパレータ６，７がアラーム信号を出力していても、上述したマスク処理を行うことによって、２つのＨＷＡ３，４が非ＤＣＬＳ構成で動作しているときは、ＤＣＬＳコントローラ５は、ＥＣＵ１００へアラーム信号ＡＬＡＲＭを出力しないようにすることができる。

以上のように、上述した実施形態によれば、機能ブロックの回路規模が大きくなっても、単純なＤＣＬＳ化による回路規模の増大を避けながら、故障の発生後所定の期間内に故障検出が可能な半導体装置を提供することができる。

本発明の実施形態を説明したが、この実施形態は、例として例示したものであり、発明の範囲を限定することは意図していない。この新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。この実施形態やその変形は、発明の範囲や要旨に含まれると共に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ 半導体装置、２ ハードウエアアクセラレーション部、３、４ ハードウエアアクセラレータ、５ コントローラ、５ａ ＦＤＴＩレジスタ、５ｂ タイマ、５ｃ スケジューラ、５ｄ レジスタ群、６、７ コンパレータ、８ ＥＣＣ＿ＳＲＡＭラッパーモジュール、９ セレクタ、１０，１１ バッファ、１２ コンパレータ、２１，２２ ＥＣＣ＿ＳＲＡＭ、２３，２４，２５ セレクタ、１００ ＥＣＵ。

Claims (12)

1. 第１及び第２の機能ブロックと、
   前記第１及び前記第２の機能ブロックを複数の周期の各周期内にそれぞれの第１の機能及び第２の機能を実現するように動作させると共に、所定の期間内に含まれる前記複数の周期において、前記第１及び前記第２の機能ブロックをデュアルコアロックステップ構成で動作させる周期のタイミングを決定するコントローラと、
   を有する、半導体装置。
2. 前記コントローラは、前記所定の期間を格納するレジスタと、前記所定の期間内の残り時間を出力する残り時間出力回路と、を有し、
   前記コントローラは、前記レジスタに格納された前記所定の期間と、前記残り時間出力回路から出力された前記残り時間に基づいて、前記第１及び前記第２の機能ブロックを前記デュアルコアロックステップ構成で動作させる前記周期の前記タイミングを決定する、請求項１に記載の半導体装置。
3. 前記第１及び前記第２の機能ブロックへ入力される第１及び第２の入力を選択するセレクタを有し、
   前記コントローラは、前記第１及び前記第２の機能ブロックを前記デュアルコアロックステップ構成で動作させる周期の前記タイミングで、前記第１及び前記第２の機能ブロックに同じ入力が入力されるように前記セレクタを制御する、請求項１に記載の半導体装置。
4. 前記第１の機能ブロックの第１の出力と、前記第２の機能ブロックの第２の出力とを比較する第１の比較回路を有し、
   前記コントローラは、前記第１及び前記第２の機能ブロックがデュアルコアロックステップ構成で動作しているときに、前記第１の比較回路による比較の結果、前記第１の出力と前記第２の出力が一致しないときに、アラーム信号を出力する、請求項１に記載の半導体装置。
5. 前記第１の機能ブロックの前記第１の出力と、前記第２の機能ブロックの前記第２の出力とを比較する第２の比較回路を有し、
   前記コントローラは、前記第１の比較回路の第１の比較結果と前記第２の比較回路の第２の比較結果とが一致しないときに、前記アラーム信号を出力する、請求項１に記載の半導体装置。
6. 前記第１の比較回路及び前記第２の比較回路は、前記第１及び前記第２の機能ブロックがデュアルコアロックステップ構成で動作しているときにのみ、前記第１の比較回路による第１の比較の結果と前記第２の比較回路による第２の比較の結果を前記コントローラへ出力する、請求項５に記載の半導体装置。
7. 前記コントローラは、前記第１及び前記第２の機能ブロックがデュアルコアロックステップ構成で動作しているときにのみ、前記第１の比較回路による第１の比較の結果と前記第２の比較回路による第２の比較の結果に基づいて、前記アラーム信号を出力する、請求項５に記載の半導体装置。
8. 前記第１及び前記第２の機能は、前記周期毎に前記第１及び前記第２の機能ブロックにそれぞれ入力される第１及び第２のフレーム画像に対する処理により実現される、請求項１に記載の半導体装置。
9. 前記所定の期間は、前記半導体装置に故障が発生してから前記故障を検出するまでの設定された期間である、請求項１に記載の半導体装置。
10. 各々がデータのエラー訂正機能を有する揮発性のメモリであって、前記第１及び前記第２の機能ブロックがそれぞれ前記データの書き込み及び読み出しのために用いる第１及び第２のメモリを有し、
    前記第１及び前記第２の機能ブロックを前記デュアルコアロックステップ構成で動作させる周期の前記タイミングで、前記第１及び前記第２のメモリには、同じデータが入力される、請求項１に記載の半導体装置。
11. 前記コントローラは、前記第１及び前記第２の機能ブロックの最長処理時間に基づいて、前記第１及び前記第２の機能ブロックを前記デュアルコアロックステップ構成で動作させる周期の前記タイミングを決定する、請求項１に記載の半導体装置。
12. 前記最長処理時間は、前記第１の機能ブロックの第１の処理時間及び前記第２の機能ブロックの第２の処理時間における過去の実測値あるいは前記実測値から推定された時間である、請求項１１に記載の半導体装置。

Images