JP5060263B2 - チップ内冗長化による高信頼システム及びその制御方法 - Google Patents

Description

本発明は高信頼性を有する半導体冗長化システムにかかり、特に半導体チップ内で冗長化されたマイクロプロセッサ、ハードロジック回路等の機能ブロックを用いたチップ内冗長化による高信頼システムに関する。

宇宙航空、鉄道、自動車などのシステムに対し高い安全性が求められる技術分野では、従来から予備のシステムをバックアップとして配置する冗長化によるシステムの高信頼化が広く実施されている。特に半導体集積回路においては近年になって半導体の集積度が高くなり、システムオンチップ方式のようにシステムレベルの機能ブロック回路が半導体チップ内に実装できるようになっている。さらには例えば特開平６−１６１７９８号公報に示されるように複数の機能ブロックが冗長化されたシステムを１つの半導体チップ内で実現できるようになってきている。こうした半導体チップ内に冗長化されたシステムを構成する方式は、組み込みシステムにおいては小型軽量化につながり、また、高性能システムにおいては信号遅延時間を短縮し、ひいては性能向上につながる極めて優れた技術である。

特開平６−１６１７９８号公報

上記の従来技術では、たとえばセ氏−４０度ないし１５０度にわたる厳しい熱的環境のもとで、半導体チップに加わる熱サイクルによりチップに割れ、ひびなどの物理的損傷が発生する。従って半導体チップ全体に波及するこれら故障対策に関する考慮が不可欠である。従来冗長化したシステムの出力同士を比較照合することで正常性を保証する方式では、故障を検出するための比較照合回路を冗長化システムと同一半導体チップ内に実装しているため、比較照合回路に故障の影響が及んだ場合の動作を保証することができない。また、前記公知文献１にあるように、プロセッサモジュール、比較回路が各々異なるチップから構成されている場合、現在求められている高速処理に対応することはできない。

そこで本発明では、半導体チップ全体に波及する故障の影響を防ぎ、半導体チップに搭載したオンチップ冗長化システムの信頼性を高めることを目的とする。

上記課題を解決するため、本発明ではオンチップ冗長化システムの出力を比較照合する比較照合回路を前記オンチップ冗長化システムとは異なる別の半導体チップに実装する。このとき冗長化システムに不可欠の既存の周辺回路と比較照合回路を同一のチップに搭載する。既存の周辺回路としては電源回路、各種出力回路を駆動するドライバ回路等であり、この多くは元々システムに別チップとして備えられており、新たなチップ数の増加を招かずに比較照合回路への故障波及を防止する。
前記比較照合回路により異常が検出された場合には冗長システムへの電力供給を停止させるか、冗長システムへリセット信号またはＮＭＩ（ノンマスカブルインタラプト）信号を出すことにより冗長システムの動作を停止させて安全性を確保する。

本発明は、冗長化システムと比較照合回路を別チップとして構成することにより、半導体チップ全体に波及する故障の影響を防ぎ、オンチップ冗長化システムの信頼性を高めることができる。またシステム内の既存の周辺回路を有する第２の半導体チップに比較照合回路を搭載することによりチップ数の増加を招かずにオンチップ冗長化システムの信頼性を高めることができる。

以下に、図を参照しながら本発明に係る実施の形態を説明する。ただし本発明はこれら実施例に限定されるものではない。

以下、図に従い本発明の実施例について説明を加える。図１は本発明の第１の実施例を示すブロック図である。機能ブロックとして冗長化したマイクロプロセッサ２０−１，２０−２が第１の半導体チップ２内に実装されている。さらにマイクロプロセッサ２０−１，２０−２の出力２１−１，２１−２を比較照合する比較照合回路１０が半導体チップ２とは別の第２の半導体チップ１内に実装されている。ここで機能ブロックとしては、図１のマイクロプロセッサに替えてFFT(Fast Fourier Transform)回路、デジタルフィルタ等のハードロジック回路を搭載することもできる。

図２は比較照合回路１０が電源回路３０、出力制御手段として設けられたウォッチドッグタイマ３１(ＷＤＴ)を有する電源回路半導体チップ３内に実装された第２の実施例である。ウォッチドッグタイマ３１は出力制御手段を有しマイクロプロセッサ２０−１または２０−２の少なくとも１つからの生存通知が一定時間以上到達しない場合にはマイクロプロセッサ２０−１または２０−２の異常と見なしてリセット信号３２を出力してマイクロプロセッサ２０−１及び２０−２の動作を停止する。あるいはウォッチドッグタイマ３１がＮＭＩ（ノンマスカブルインタラプト）信号３３を出力し障害処理ルーチンを起動させマイクロプロセッサを回復可能なポイントから回復させてシステム及び制御対象を安全な状態に保つ。

本実施例ではさらに比較照合回路１０が出力制御手段の機能を有し、マイクロプロセッサ２０−１及び２０−２の出力２１−１，２１−２を比較照合し、照合結果１９が異常である場合には同様にリセット信号３２、又はＮＭＩ（ノンマスカブルインタラプト）信号３３を出力してマイクロプロセッサ２０−１及び２０−２の動作を停止し、あるいは回復させてシステム及び制御対象を安全な状態に保つ。

図３は比較照合回路１０がドライバ回路としてプリドライバ４１を有するドライバ回路半導体チップ４に実装された第３の実施例である。比較照合回路１０でマイクロプロセッサ２０−１及び２０−２の出力２１−１，２１−２を比較照合する。比較照合回路１０は照合結果１９が異常である場合にはプリドライバ４１の動作を停止させてシステム及び制御対象を安全な状態に保つ。４９はプリドライバ回路４１の出力、５は制御対象であるインバータである。

図４は比較照合回路１０が実装されているドライバ回路半導体チップ４がさらに昇圧回路であるチャージポンプ４２を含んでいる第４の実施例である。比較照合回路１０でマイクロプロセッサ２０−１及び２０−２の出力２１−１，２１−２を比較照合し、照合結果１９が異常である場合にはチャージポンプ４２の動作を停止させることにより、プリドライバ４１の動作を停止させてシステム及び制御対象を安全な状態に保つ。
また図４に示すように比較照合回路１０からの照合結果１９を交番信号とし、交番信号によりチャージポンプ４２を駆動することにより、照合結果１９の出力固着故障（出力がＬまたはＨに固定してしまう故障）が発生した場合でも確実にチャージポンプ４２の動作を停止させ、ドライバＩＣ４の動作を停止させることが可能となる。
マイクロプロセッサ２０−１及び２０−２の出力２１−１、２１−２を一定周期毎に一致、不一致とすれば比較照合回路１０からの照合結果１９は一定周期毎にＨ、Ｌの値を繰り返し交番信号となる。ここでマイクロプロセッサ２０−１及び２０−２の出力２１−１、２１−２が一致しているときには比較照合回路１０からの照合結果１９をＨ出力とし、不一致のときはＬとする。
チャージポンプ４２は、直流をスイッチング動作により一旦交流にした後に整流してより高い電圧を持つ直流に変換する動作をする。本実施例によれば、照合結果１９によりスイッチング動作をさせているので、比較照合回路１０からの照合結果１９の出力固着故障が発生した場合には照合結果１９はＨまたはＬに固定となり、チャージポンプ４２の動作が停止する。これによりプリドライバ４１への高圧電源電力の供給が停止されて確実にプリドライバ４１の動作を停止させ、システムおよび制御対象を安全な状態に保つことが可能となる。

図５は、負荷やアクチュエータを駆動するパワー半導体素子６１を含むパワー半導体素子半導体チップ６に比較照合回路１０が設けられている場合を示す第５の実施例である。この場合も同様に比較照合回路１０は出力制御手段として機能し、マイクロプロセッサ２０−１及び２０−２の出力２１−１，２１−２を比較照合し、照合結果１９が異常である場合にはパワー半導体素子６１の動作を停止させてシステム及び制御対象を安全な状態に保つ。
さらにマイクロプロセッサ２０−１及び２０−２の誤動作によりパワー半導体素子６１が破壊されることを自ら防止することができる。ここで、パワー半導体素が駆動するアクチュエータはモータ８の他、ソレノイド、出力段に電源を供給するメインパワーリレー、出力回路からアクチュエータへの駆動電流を断続する出力リレー（モータ制御においては相電流リレー）であってもよい。

図６〜図９は比較照合回路１０の種々のパターンを示す変形実施例である。図６は比較器１１でマイクロプロセッサ２０−１，２０−２の出力２１−１，２１−２を比較する比較照合回路の第１のパターンを示す変形実施例である。本例はマイクロプロセッサ２０−１，２０−２で同一の処理を実行し、その結果を比較することで正常であることを保証するために好適である。なお比較器１１は比較器自身の故障を検出することができるセルフチェッキング型の比較器であることが望ましい。

図７は演算器１２でマイクロプロセッサ２０−１，２０−２の出力２１−１，２１−２を演算し、その結果と定数１３とを比較器１１で比較する第２のパターンを示す。なお、演算器１２は加減乗除の四則演算のほかに排他的論理和（Ｅｘｃｌｕｓｉｖｅ ＯＲ）などの論理演算でもよい。本例は、マイクロプロセッサ２０−１，２０−２間で、互いに与えられた値と所定の演算を施すと定数となる変数を求める問題を出題しあって、その結果が正解であることにより正常であることを保証するために好適である。

図８はマイクロプロセッサ２０−１，２０−２の出力２１−１または２１−２の一方と定数１３とを演算器１２で演算し、その結果と出力２１−１または２１−２の他方と比較器１１で比較する第３のパターンを示す。本例は、マイクロプロセッサ２０−１，２０−２間で、互いに定数と所定の演算を施すと与えられた値となる変数を求める問題を出題しあって、その結果が正解であることにより正常であることを保証するために好適である。

図９はマイクロプロセッサ２０−１，２０−２の出力２１−１、２１−２双方と定数１３、１３’との演算を演算器１２、１２’で実行し、その結果を比較器１１、で比較する第４のパターンを示す。本例は、マイクロプロセッサ２０−１，２０−２間で、互いに定数と所定の演算を施すと、与えられた値と定数と所定の演算を施した値になる変数を求める問題を出題しあって、その結果が正解であることにより正常であることを保証するために好適である。また、マイクロプロセッサ２０−１，２０−２の出力をそれぞれ識別するために固有の演算を施したり、または固有のシグナチャで演算する場合にも有効である。

図１０は比較照合回路１０でマイクロプロセッサ２０−１及び２０−２の出力２１−１，２１−２を比較照合して得られた比較照合回路１０の比較照合結果１９のマイクロプロセッサ制御への適用に関する第６の実施例である。半導体チップ２に含まれるマイクロプロセッサ２０−１，２０−２のいずれかからの出力２２は比較照合結果１９により制御される遮断手段としてのスイッチ２３を経て出力２４となる。ここで、比較照合結果１９が正常を示しているときにはスイッチ２３は閉じて出力２２が出力２４となる。比較照合結果１９が異常を示しているときにはスイッチ２３は開いて出力２４は停止する。本実施例によれば、マイクロプロセッサ２０−１及び２０−２に異常があった場合には出力２４を停止して、システム及び制御対象を安全な状態に保つことが可能である。

図１１はインバータ３０によりモータ６００を制御する第７の実施例である。本実施例では、比較照合回路１０の比較照合結果１９で論理スイッチ２を制５御してアクチュエータの一つであるインバータ３０への駆動信号を断続させる。また比較照合結果１９でリレー５０によりインバータ３０の電力供給を断続させたり、リレー６０によりインバータ３０からモータ６００への駆動電流を断続させる構成としている。本実施例によれば、マイクロプロセッサ２０−１及び２０−２に異常があった場合には、何重もの安全機構によりモータ６００を停止して、システム及び制御対象をより確実に安全な状態に保つことが可能である。

また図１２は、ダブルチップ構成の冗長回路における第８の実施例であり、半導体チップ２に含まれるマイクロプロセッサ２０−１，２０−２のいずれかからの出力２２と、もうひとつの半導体チップ２’に含まれるマイクロプロセッサ２０−１’，２０−２’のいずれかからの出力２２’とを比較照合回路１０の比較照合結果１９により制御される選択手段としてのスイッチ２６により切り替えて出力２４とする実施例である。

本実施例によれば、マイクロプロセッサ２０−１及び２０−２に異常があった場合にはマイクロプロセッサ２０−１’及び２０−２’の出力２２’を用いてシステム及び制御対象の動作を継続させることができる。

また、図１３の第９の実施例に示すように比較照合結果１９だけでなく、比較照合回路１０’でマイクロプロセッサ２０−１’及び２０−２’の出力２１−１’，２１−２’を比較照合して得られた比較照合結果１９’をも用いてスイッチ２６を制御することも可能である。

図１４は比較照合回路を含む半導体チップ１と冗長化したマイクロプロセッサを含む半導体チップ２とを配線基板８上にベアチップ実装した第１０の実施例である。本実施例により、半導体チップ１と冗長化したマイクロプロセッサを含む半導体チップ２の間の故障波及を防止することと、システムの小型軽量化を両立させることができる。半導体チップ１と半導体チップ２はベアチップであるため、外気に触れて酸化したり吸湿したりして特性が劣化しないように図示しない気密封止、トランスファーモールド、ゲル充填などにより外気を遮断して半導体チップを保護する。

図１５は、半導体チップ１内に比較照合回路１０を有した上で、さらに半導体チップ２に第２の比較照合回路７０を設けた第１１の実施例を示す。本実施例はチップ全体に亘らない故障については第２の比較照合回路７０によりマイクロプロセッサの高速動作に追従した異常検出を実現することができ、さらにチップ全体に亘る故障については半導体チップ１に設けた比較照合回路１０により全体への波及の影響を防止できるという本発明固有の効果が得られる。

本発明の第１の実施例をしめすブロック図である。 比較照合回路を電源回路と同一半導体チップに実装した第２の実施例を示すブロック図である。 比較照合回路をドライバ回路と同一半導体チップに実装した第３の実施例を示すブロック図である。 比較照合回路出力でチャージポンプを駆動する第４の実施例を示すブロック図である。 比較照合回路をパワー半導体と同一チップに実装した第５の実施例を示すブロック図である。 比較照合回路の第１のパターンを示すブロック図である。 比較照合回路の第１のパターンを示すブロック図である。 比較照合回路の第１のパターンを示すブロック図である。 比較照合回路の第１のパターンを示すブロック図である。 比較照合結果のシステム出力への適用に関する第６の実施例を示すブロック図である。 比較照合結果のシステム出力への適用に関する第７の実施例を示すブロック図である。 比較照合結果のシステム出力への適用に関する第８の実施例を示すブロック図である。 比較照合結果のシステム出力への適用に関する第９の実施例を示すブロック図である。 配線基盤上にベアチップ実装した第１０の実施例を示すブロック図である。 冗長化システムを有する半導体チップに比較照合回路を設けた本発明の第１１の実施例を示すブロック図である。

符号の説明

１ 半導体チップ
２ 半導体チップ
２’ 半導体チップ
３ 電源回路半導体チップ
４ ドライバ回路半導体チップ
５ インバータ
６ パワー半導体素子半導体チップ
６１ パワー半導体素子
１０ 比較照合回路
１０’ 比較照合回路
２０-１ マイクロプロセッサ
２０-２ マイクロプロセッサ
２３ スイッチ
２５ 論理スイッチ
２６ スイッチ
３０ 電源回路
５５ インバータ
３１ ウォッチドッグタイマ
４１ プリドライバ回路
４２ チャージポンプ
５０ リレー
６０ リレー
７０ 比較照合回路

Claims (22)

1. 同一の機能を有する機能ブロックを第１の半導体チップ内に少なくとも２つ冗長に有し、前記機能ブロックの出力を照合する第１の比較照合手段を第２の半導体チップ内に設け、前記第１の半導体チップ内に、前記複数の機能ブロックの出力を照合する第２の比較照合手段を設け、前記第１の比較照合手段の出力を交番信号としたことを特徴とするチップ内冗長化による高信頼システム。
2. 前記第１及び第２の比較照合手段は、前記機能ブロックが実行した特定の演算結果を比較照合することを特徴とする請求項１記載のチップ内冗長化による高信頼システム。
3. 前記機能ブロックがマイクロプロセッサからなることを特徴とする請求項１または２記載のチップ内冗長化による高信頼システム。
4. 前記機能ブロックがマイクロプロセッサからなり、前記第２の半導体チップが前記高信頼システム内の周辺回路を有することを特徴とする請求項１ないし３のいずれかに記載のチップ内冗長化による高信頼システム。
5. 前記機能ブロックがハードロジック回路からなることを特徴とする請求項１または２記載のチップ内冗長化による高信頼システム。
6. 前記第２の半導体チップが前記高信頼システム内の周辺回路を有することを特徴とする請求項５記載のチップ内冗長化による高信頼システム。
7. 前記第２の半導体チップが、前記マイクロプロセッサに電力を供給する電源回路を有することを特徴とする請求項３または４記載のチップ内冗長化による高信頼システム。
8. 前記第２の半導体チップが、前記マイクロプロセッサへのリセット信号、またはノンマスカブルインタラプト信号を出力する出力制御手段を有することを特徴とする請求項３または４記載のチップ内冗長化による高信頼システム。
9. 前記第１の比較照合手段は前記出力制御手段を有し、前記第１の比較照合手段は前記機能ブロックの出力が合致しなかった場合には前記第１の比較照合手段から前記マイクロプロセッサへリセット信号またはノンマスカブルインタラプト信号を出力することを特徴とする請求項８記載のチップ内冗長化による高信頼システム。
10. 前記第２の半導体チップが、前記出力制御手段としてウォッチドッグタイマ手段を有し、該ウォッチドッグタイマ手段は前記マイクロプロセッサから規定の周期で信号が到達しなかった場合、前記マイクロプロセッサへリセット信号またはノンマスカブルインタラプト信号を出力することを特徴とする請求項８または９記載のチップ内冗長化による高信頼システム。
11. 前記第２の半導体チップが、前記複数のマイクロプロセッサのいずれかの出力に基づきパワー半導体素子を駆動するドライバ回路を有することを特徴とする請求項３または４記載のチップ内冗長化による高信頼システム。
12. 前記機能ブロックの出力が合致しなかった場合には前記ドライバ回路の動作を停止させる前記第１の比較照合手段を備えたことを特徴とする請求項１１記載のチップ内冗長化による高信頼システム。
13. 前記ドライバ回路に印加される電源電圧よりも高い電圧を前記ドライバ回路に供給する昇圧回路を有し、前記機能ブロックの出力が合致しなかった場合には前記昇圧回路の動作を停止させる前記第１の比較照合手段を備えたことを特徴とする請求項１２記載のチップ内冗長化による高信頼システム。
14. 前記第２の半導体チップに、前記複数のマイクロプロセッサのいずれかからの出力に基づき、アクチュエータを駆動するパワー半導体素子を有することを特徴とする請求項３または４記載のチップ内冗長化による高信頼システム。
15. 前記複数のマイクロプロセッサの出力が合致しなかった場合には前記パワー半導体素子の動作を停止させる前記第１の比較照合手段を備えたことを特徴とする請求項１４記載のチップ内冗長化による高信頼システム。
16. 前記複数のマイクロプロセッサのいずれかからの出力を遮断する遮断手段を有し、前記複数のマイクロプロセッサの出力が合致しなかった場合には前記遮断手段により前記マイクロプロセッサのいずれかからの出力を抑止させる前記第１及び第２の比較照合手段を備えたことを特徴とする請求項３または４記載のチップ内冗長化による高信頼システム。
17. 前記機能ブロック出力の遮断手段を有し、前記機能ブロックの出力が合致しなかった場合には前記高信頼システムから外部への出力回路からアクチュエータへの出力を遮断する前記第１及び第２の比較照合手段を備えたことを特徴とする請求項１ないし６のいずれかに記載のチップ内冗長化による高信頼システム。
18. 前記高信頼システムから外部への出力回路への電力供給を遮断する遮断手段を有し、前記機能ブロックの出力が合致しなかった場合には前記出力回路への電力供給を停止させる前記第１及び第２の比較照合手段を備えたことを特徴とする請求項１ないし６のいずれかに記載のチップ内冗長化による高信頼システム。
19. 同一の機能を有する機能ブロックを第３の半導体チップ内に２つ冗長に有し、前記第１の半導体チップ内の前記機能ブロック出力が合致しなかった場合、前記第３の半導体チップの出力を前記高信頼システムの出力とする選択手段を備えたことを特徴とする請求項１ないし６のいずれかに記載のチップ内冗長化による高信頼システム。
20. 同一の機能を有する機能ブロックを第３の半導体チップ内に少なくとも２つ冗長に有し、前記第３の半導体チップ内の前記機能ブロックの出力を比較照合する前記第２の比較照合手段を第４の半導体チップ内に有し、前記第１の半導体チップ内の前記機能ブロックからの第１の出力と前記第３の半導体チップ内の前記機能ブロックからの第２の出力から一方を選択して前記高信頼システムの出力とする選択手段を備えたことを特徴とする請求項１ないし６のいずれかに記載のチップ内冗長化による高信頼システム。
21. 同一の機能を有する機能ブロックを第１の半導体チップ内に少なくとも２つ冗長に有し、前記機能ブロックの出力を比較照合する第１の比較照合手段を第２の半導体チップ内に備え、前記第１の半導体チップの前記機能ブロックと同一機能を有する機能ブロックを第３の半導体チップ内に少なくとも２つ冗長に有し、前記第３の半導体チップ内の前記機能ブロックの出力を比較照合する第２の比較照合手段を第４の半導体チップ内に有し、前記第１の半導体チップ内の前記機能ブロックのいずれかからの第１の出力と前記第３の半導体チップ内の前記機能ブロックのいずれかからの第２の出力から一方を選択して高信頼システムの出力とする選択手段を備え、前記第１の半導体チップまたは前記第３の半導体チップの出力のうち前記機能ブロックのすべての出力が合致した半導体チップの出力を前記選択手段で選択して出力することを特徴とするチップ内冗長化による高信頼システムの制御方法。
22. 前記第１の半導体チップと前記第２の半導体チップとを配線基板上に実装し、前記第１の半導体チップと前記第２の半導体チップと前記配線基板とを同一パッケージに封止したことを特徴とする請求項１ないし６のいずれかに記載のチップ内冗長化による高信頼システム。

Images