JP7249263B2 - 機能安全システム - Google Patents

Description

本発明は、機能安全システムに関するものである。

近年、システムの信頼性を向上させるために、システムの動作を複数の監視系統を用いて監視することが行われている。また、安全の為の機能をシステムに組み込むことを機能安全と称する。システムの動作を複数の監視系統を用いて監視する例が、特開２００６－３０２６１４号公報（特許文献１）に開示されている。

特許文献１に記載の制御装置は、第１のＭＰＵと第２のＭＰＵを有する。第２のＭＰＵは、電圧監視回路を含む出力回路を制御する。具体的には、第２のＭＰＵは、電圧監視回路へ供給される電源を遮断する。それによって、電圧監視回路からの出力結果を第１のＭＰＵで観測し、第１のＭＰＵと第２のＭＰＵとの間でクロスコミュニケーションを行い、出力回路の異常を判定する。つまり、特許文献１では、電圧監視回路への配線経路の故障を診断することが出来る。

特開２００６－３０２６１４号公報

しかしながら、特許文献１では、電圧監視回路自体の故障を診断することが出来ない。そのため、特許文献１に記載の制御装置は、信頼性が低いという課題がある。その他の課題と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。

一実施の形態に係る機能安全システムは、外部電源に基づいて第１の電源電圧を生成する第１の電源装置と、第１の電源電圧を受け取り、かつ第１の電源電圧を監視する第１の電源監視装置と、第１の電源電圧を受け取り、かつ第１の電源電圧に基づいて動作する第１の半導体装置と、を備える。また、機能安全システムは、外部電源に基づいて第２の電源電圧を生成する第２の電源装置と、第２の電源電圧を受け取り、かつ第２の電源電圧を監視する第２の電源監視装置と、第２の電源電圧を受け取り、かつ第２の電源電圧に基づいて動作する第２の半導体装置と、を備える。更に、機能安全システムは、第１の半導体装置によって制御される第１の遮断回路と、第２の半導体装置によって制御される第２の遮断回路と、第１の遮断回路及び第２の遮断回路を介して駆動信号を受け取り、かつ駆動信号に基づいて動作するモータと、を備える。第１の電源監視装置は、第１の電圧変換回路と、第２の電圧変換回路と、第１の比較回路と、及び第２の比較回路と、を有する。第２の半導体装置は、第１の期待値と、第２の期待値とを有する。第１の電圧変換回路は、第２の半導体装置から供給される第１の切替信号に基づいて、第１の電源電圧から第１の検出電圧を生成し、第１の検出電圧を前記第１の比較回路へ供給する。第２の電圧変換回路は、第１の切替信号に基づいて、第１の電源電圧から第２の検出電圧を生成し、第２の検出電圧を第２の比較回路へ供給する。第１の比較回路は、第１の検出電圧と第１の基準電圧とを比較し、比較結果に応じて、第１の電圧監視結果を第２の半導体装置へ供給する。第２の比較回路は、第２の検出電圧と第１の基準電圧とを比較し、比較結果に応じて、第２の電圧監視結果を第２の半導体装置へ供給する。第２の半導体装置は、第１の電圧監視結果と第１の期待値とが異なる場合、又は第２の電圧監視結果と第２の期待値とが異なる場合に、第２の遮断回路を制御し、モータへ供給される駆動信号を遮断する。

他の実施の形態に係る機能安全システムは、外部電源に基づいて第１の電源電圧を生成し、第１の電源電圧を第１の電源配線へ供給する第１の電源装置と、第１の電源配線に接続され、かつ第１の電源配線の電位を監視する第１の電源監視装置と、第１の電源配線に接続され、かつ第１の電源電圧に基づいて動作する第１の半導体装置と、を備える。また、機能安全システムは、外部電源に基づいて第２の電源電圧を生成し、第２の電源電圧を第２の電源配線へ供給する第２の電源装置と、第２の電源配線に接続され、かつ第２の電源配線の電位を監視する第２の電源監視装置と、第２の電源配線に接続され、かつ第２の電源電圧に基づいて動作する第２の半導体装置と、を備える。更に、機能安全システムは、第１の半導体装置によって制御される第１の遮断回路と、第２の半導体装置によって制御される第２の遮断回路と、第１の遮断回路及び第２の遮断回路を介して駆動信号を受け取り、かつ駆動信号に基づいて動作するモータと、を備える。第１の電源監視装置は、第１の電圧変換回路と、第２の電圧変換回路と、第１の比較回路と、及び第２の比較回路とを有する。第２の半導体装置は、第１の期待値と、第２の期待値とを有する。第１の電圧変換回路は、第２の半導体装置から供給される第１の切替信号に基づいて、第１の電源電圧から第１の検出電圧を生成し、第１の検出電圧を前記第１の比較回路へ供給する。第２の電圧変換回路は、第１の切替信号に基づいて、第１の電源電圧から第２の検出電圧を生成し、第２の検出電圧を第２の比較回路へ供給する。第１の比較回路は、第１の検出電圧と第１の基準電圧とを比較し、比較結果に応じて、第１の電圧監視結果を第２の半導体装置へ供給する。第２の比較回路は、第２の検出電圧と第１の基準電圧とを比較し、比較結果に応じて、第２の電圧監視結果を第２の半導体装置へ供給する。第２の半導体装置は、第１の電圧監視結果と第１の期待値とが異なる場合、又は第２の電圧監視結果と第２の期待値とが異なる場合に、第２の遮断回路を制御し、モータへ供給される駆動信号を遮断する。

他の実施の形態に係る機能安全システムは、外部電源に基づいて第１の電源電圧を生成する第１の電源装置と、第１の電源電圧を受け取り、かつ第１の電源電圧を監視する電源監視装置と、第１の電源電圧を受け取り、かつ第１の電源電圧に基づいて動作する第１の半導体装置と、を備える。また、機能安全システムは、外部電源に基づいて第２の電源電圧を生成する第２の電源装置と、第２の電源電圧を受け取り、かつ第２の電源電圧に基づいて動作する第２の半導体装置と、を備える。更に、機能安全システムは、第２の半導体装置によって制御される遮断回路と、遮断回路を介して駆動信号を受け取り、駆動信号に基づいて動作するモータと、を備える。電源監視装置は、電圧変換回路及び比較回路を有する。第２の半導体装置は、期待値として、第１の値と第２の値を有する。電圧変換回路は、第２の半導体装置から供給されるＬｏｗレベルの切替信号に基づいて、第１の電源電圧から第１の分圧電圧を生成し、第１の分圧電圧を第１の比較回路へ供給する。電圧変換回路は、Ｈｉｇｈレベルの切替信号に基づいて、第１の電源電圧から第２の分圧電圧を生成し、第２の分圧電圧を比較回路へ供給する。比較回路は、第１の分圧電圧と基準電圧とを比較し、比較結果に基づいて、第１の結果値を第２の半導体装置へ供給する。比較回路は、第１の分圧電圧と基準電圧とを比較し、比較結果に基づいて、第２の結果値を第２の半導体装置へ供給する。第２の半導体装置は、第１の結果値と前記第１の値とが異なる場合、又は第２の結果値と第２の値とが異なる場合に、遮断回路を制御し、モータへ供給される駆動信号を遮断する。

実施の形態によれば、高信頼性の機能安全システムを提供することが出来る。

図１は、実施の形態１に係る機能安全システムの構成例を説明するブロック図である。 図２は、実施の形態１に係る電源監視装置の構成例を説明するブロック図である。 図３は、実施の形態１に係る半導体装置の構成例を説明するブロック図である。 図４は、実施の形態１に係る電源監視装置の出力結果例を説明する図である。 図５は、実施の形態１に係る電源監視装置の動作について説明する図である。 図６は、実施の形態２に係る機能安全システムの構成例を説明するブロック図である。 図７は、実施の形態２に係る電源監視装置の構成例を説明するブロック図である。 図８は、実施の形態２に係る電源監視装置の出力結果例を説明する図である。 図９は、実施の形態２に係る電源監視装置の動作について説明する図である。

以下の実施の形態においては便宜上その必要があるときは、複数のセクションまたは実施形態に分割して説明するが、特に明示した場合を除き、それらはお互いに無関係なものではなく、一方は他方の一部または全部の変形例、応用例、詳細説明、補足説明等の関係にある。また、以下の実施の形態において、構成要素の数等（個数、数値、量、範囲等を含む）に言及する場合、特に明示した場合及び原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されるものではなく、特定の数以上でも以下でもよい。

更に、以下の実施の形態において、その構成要素（動作ステップ等もを有する）は、特に明示した場合及び原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではない。同様に、以下の実施の形態において、構成要素の形状、位置関係等に言及するときは、特に明示した場合及び原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等には類似するものを有するものとする。

また、様々な処理を行う機能ブロックとして図面に記載される各要素は、ハードウェア的には、ＣＰＵ 、メモリ、その他の回路で構成することができ、ソフトウェア的にはメモリにロードされたプログラムなどによって実現される。したがって、これらの機能ブロックがハードウェアのみ、ソフトウェアのみ、またはそれらの組合せによっていろいろな形で実現できることは当業者には理解されるところであり、いずれかに限定されるものではない。なお、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。

［実施の形態１］
図１は、実施の形態１に係る機能安全システム１の構成例を説明するブロック図である。

機能安全システム１は、モータＭＴ、角度センサＳＥ、半導体装置（第１の半導体装置）ＳＣ１、半導体装置（第２の半導体装置）ＳＣ２、半導体装置（第３の半導体装置）ＳＣ３、遮断回路（第１の遮断回路）ＩＮ１、遮断回路（第２の遮断回路）ＩＮ２、電源装置（第１の電源装置）ＶＳ１、電源装置（第２の電源装置）ＶＳ２、電源装置（第３の電源装置）ＶＳ３、電源監視装置（第１の電源監視装置）ＶＭ１、電源監視装置（第２の電源監視装置）ＶＭ２、電源配線（第１の電源配線）ＶＷ１、電源配線（第２の電源配線）ＶＷ２、及び電源配線（第３の電源配線）ＶＷ３を有する。また、機能安全システム１は、制御対象であるモータＭＴに対し、半導体装置ＳＣ１及びＳＣ２を使用して機能安全システムを構成している。

半導体装置ＳＣ１、ＳＣ２、及びＳＣ３、遮断回路ＩＮ１及びＩＮ２、電源装置ＶＳ１、ＶＳ２、及びＶＳ３、電源監視装置ＶＭ１及びＶＭ２は、個別の半導体チップ上に形成されている。ただし、遮断回路ＩＮ１及びＩＮ２は、１つの半導体チップ上に形成されてもよい。また、電源装置ＶＳ１及びＶＳ２も、１つの半導体チップ上に形成されてもよい。

半導体装置ＳＣ１及びＳＣ２は、監視対象（例えば、モータＭＴ、電源装置ＶＳ１及びＶＳ２、電源配線ＶＷ１及びＶＷ２、電源監視装置ＶＭ１及びＶＭ２等）の異常を検出し、モータＭＴを安全に停止させる安全制御を実施するＭＣＵ（Micro Controller Unit）である。好ましくは、半導体装置ＳＣ１及びＳＣ２は、互いに同一の構造である。一方、半導体装置ＳＣ３は、モータＭＴを駆動させるＭＣＵである。

機能安全システム１では、異なる電源装置で生成された動作電源電圧をそれぞれの半導体装置ＳＣ１、ＳＣ２及びＳＣ３に供給する。具体的には、電源装置ＶＳ１は、外部から供給される外部電源電圧ＶＩを昇圧又は降圧して、電源電圧（第１の電源電圧）ＶＤＤ１を生成する。電源装置ＶＳ１は、電源電圧ＶＤＤ１を、電源配線ＶＷ１へ供給する。電源装置ＶＳ１は、電源配線ＶＷ１を介して電源監視装置ＶＭ１と半導体装置ＳＣ１とに接続され、電源電圧ＶＤＤ１を、電源配線ＶＷ１を介して電源監視装置ＶＭ１と半導体装置ＳＣ１を供給する。電源電圧ＶＤＤ１は、半導体装置ＳＣ１の動作電源電圧である。電源電圧ＶＤＤ１は、例えば３．３〔Ｖ〕である。

電源装置ＶＳ２は、外部電源電圧ＶＩを昇圧又は降圧して、電源電圧（第２の電源電圧）ＶＤＤ２を生成する。電源装置ＶＳ２は、電源電圧ＶＤＤ２を、電源配線ＶＷ２へ供給する。電源装置ＶＳ２は、電源配線ＶＷ２を介して、電源監視装置ＶＭ２と半導体装置ＳＣ２とに接続され、電源電圧ＶＤＤ２を、電源配線ＶＷ２を介して電源監視装置ＶＭ２と半導体装置ＳＣ２へ供給する。電源電圧ＶＤＤ２は、半導体装置ＳＣ２の動作電源電圧である。電源電圧ＶＤＤ２は、例えば３．３〔Ｖ〕である。

電源装置ＶＳ３は、外部電源電圧ＶＩを昇圧又は降圧して、電源電圧ＶＤＤ３（第３の電源電圧）を生成する。電源装置ＶＳ３は、電源電圧ＶＤＤ３を、電源配線ＶＷ３へ供給する。電源装置ＶＳ３は、電源配線ＶＷ３を介して、半導体装置ＳＣ３に接続され、電源電圧ＶＤＤ３を、電源配線ＶＷ３を介して半導体装置ＳＣ３へ供給する。電源電圧ＶＤＤ３は、半導体装置ＳＣ３の動作電源電圧である。電源電圧ＶＤＤ３は、例えば５〔Ｖ〕である。

電源監視装置ＶＭ１は、電源装置ＶＳ１から半導体装置ＳＣ１へ供給される電源電圧ＶＤＤ１を受け取り、電源電圧ＶＤＤ１の値を監視する。具体的には、電源監視装置ＶＭ１は、電源電圧ＶＤＤ１に基づいた電源配線ＶＷ１の電位を監視し、電圧監視結果として、出力信号ＯＡ１及びＯＡ２を半導体装置ＳＣ２へ供給する。つまり、電源電圧ＶＤＤ１の値が異常である場合に、電源監視装置ＶＭ１は、電源電圧ＶＤＤ１の値が異常である旨を、出力信号ＯＡ１及びＯＡ２として、半導体装置ＳＣ２へ知らせる。また、電源監視装置ＶＭ１は、半導体装置ＳＣ２から切替信号（第１の切替信号）ＶＣ１を受け取り、切替信号ＶＣ１に基づいて出力信号ＯＡ１及びＯＡ２の電位レベルを変更することが出来る。

電源監視装置ＶＭ２は、電源装置ＶＳ２から半導体装置ＳＣ２へ供給される電源電圧ＶＤＤ２を受け取り、電源電圧ＶＤＤ２の値を監視する。具体的には、電源監視装置ＶＭ２は、電源電圧ＶＤＤ２に基づいた電源配線ＶＷ２の電位を監視し、電圧監視結果として、出力信号ＯＢ１及びＯＢ２を半導体装置ＳＣ２へ供給する。つまり、電源電圧ＶＤＤ２の値が異常である場合に、電源監視装置ＶＭ２は、電源電圧ＶＤＤ２の値が異常である旨を、出力信号ＯＢ１及びＯＢ２として、半導体装置ＳＣ１へ知らせる。また、電源監視装置ＶＭ２は、半導体装置ＳＣ１から切替信号（第２の切替信号）ＶＣ２を受け取り、切替信号ＶＣ２に基づいて出力信号ＯＢ１及びＯＢ２の電位レベルを変更することが出来る。

半導体装置ＳＣ３は、電源電圧ＶＤＤ３を受け取り、電源電圧ＶＤＤ３に基づいて動作する。半導体装置ＳＣ３は、モータＭＴの駆動を制御する駆動信号ＤＳを出力する。駆動信号ＤＳは、遮断回路ＩＮ１及びＩＮ２を介して、モータＭＴへ供給される。

遮断回路ＩＮ１は、遮断回路ＩＮ２、モータＭＴ、及び半導体装置ＳＣ１に接続されている。また、遮断回路ＩＮ１は、遮断回路ＩＮ２とモータＭＴとの間に配置される。遮断回路ＩＮ１は、半導体装置ＳＣ１から供給される制御信号ＣＳ１に基づいて制御される。具体的には、遮断回路ＩＮ１は、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）に基づいて、半導体装置ＳＣ３から遮断回路ＩＮ２を介してモータＭＴへ供給される駆動信号ＤＳを遮断する。その結果、モータＭＴは、駆動信号ＤＳを受け取ることが出来ず、モータＭＴの動作は停止する。一方、遮断回路ＩＮ１は、制御信号ＣＳ１（例えば、Ｈｉｇｈレベルの制御信号ＣＳ１）に基づいて、上述の駆動信号ＤＳをモータＭＴへ供給する。

遮断回路ＩＮ２は、半導体装置ＳＣ３、遮断回路ＩＮ１、及び半導体装置ＳＣ２に接続されている。遮断回路ＩＮ２は、遮断回路ＩＮ１と半導体装置ＳＣ３との間に配置される。遮断回路ＩＮ２は、半導体装置ＳＣ２から供給される制御信号ＣＳ２に基づいて制御される。具体的には、遮断回路ＩＮ２は、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）に基づいて、半導体装置ＳＣ３からモータＭＴへ供給される駆動信号ＤＳを遮断する。その結果、モータＭＴは、駆動信号ＤＳを受け取ることが出来ず、モータＭＴの動作は停止する。一方、遮断回路ＩＮ２は、制御信号ＣＳ２（例えば、Ｈｉｇｈレベルの制御信号ＣＳ２）に基づいて、上述の駆動信号ＤＳを遮断回路ＩＮ１へ供給する。

モータＭＴは、半導体装置ＳＣ３から遮断回路ＩＮ１及びＩＮ２を介して駆動信号ＤＳを受け取り、駆動信号ＤＳによって駆動される。具体的には、モータＭＴは、駆動信号ＤＳに基づいて、回転動作を実施する。モータＭＴは、例えば、３相（ｕ相、ｖ相、ｗ相）の同期モータ（言い換えればブラシレスＤＣモータ）である。図１では、制御対象として、モータＭＴを示したが、それに限定されず、例えば、センサ等の信号の入出力を行う素子でもよい。

角度センサＳＥは、モータＭＴに接続されている。角度センサＳＥは、モータＭＴの回転角を所定の周期で検出して、モータＭＴの回転角情報を示す情報信号ＭＳを、半導体装置ＳＣ１及びＳＣ２へ供給する。

半導体装置ＳＣ１は、電源電圧ＶＤＤ１を受け取り、電源電圧ＶＤＤ１に基づいて動作する。半導体装置ＳＣ１は、少なくとも、安全制御ソフトウェアＳＷ１、期待値（第３の期待値）Ｅ１、及び期待値（第４の期待値）Ｅ２を有する。半導体装置ＳＣ１が、安全制御ソフトウェアＳＷ１を実行する。それによって、半導体装置ＳＣ１は、角度センサＳＥから供給される情報信号ＭＳを得て、モータＭＴが異常もしくは正常であるかを判断する。半導体装置ＳＣ１が、モータＭＴの異常を検出した場合、半導体装置ＳＣ１が、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）を遮断回路ＩＮ１へ供給する。その結果、遮断回路ＩＮ１は、駆動信号ＤＳを遮断し、モータＭＴの動作が停止する。

更に、半導体装置ＳＣ１は、出力信号ＯＢ１及びＯＢ２を受け取り、半導体装置ＳＣ２へ供給される電源電圧ＶＤＤ２の値が異常もしくは正常であるかを判断する。言い換えれば、半導体装置ＳＣ１は、出力信号ＯＢ１及びＯＢ２に基づいて、電源装置ＶＳ２、電源監視装置ＶＭ２、又は電源配線ＶＭ２が故障しているかどうかを検出する。電源電圧ＶＤＤ２の値が異常である場合、半導体装置ＳＣ１は、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）を遮断回路ＩＮ１へ供給する。具体的には、半導体装置ＳＣ１は、安全制御ソフトウェアＳＷ１に基づいて、電圧監視結果（出力信号ＯＢ１）と期待値Ｅ１とを比較し、更に電圧監視結果（出力信号ＯＢ２）と期待値Ｅ２とを比較する。電圧監視結果（出力信号ＯＢ１）と期待値Ｅ１とが異なる場合、又は電圧監視結果（出力信号ＯＢ２）と期待値Ｅ２とが異なる場合は、半導体装置ＳＣ１は、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）を、遮断回路ＩＮ１へ供給する。それに伴って、遮断回路ＩＮ１は、駆動信号ＤＳを遮断する。その結果、モータＭＴの動作が停止する。

また、半導体装置ＳＣ１は、安全制御ソフトウェアＳＷ１に基づいて、切替信号ＶＣ２を電源監視装置ＶＭ２へ供給する。

半導体装置ＳＣ２は、電源電圧ＶＤＤ２を受け取り、電源電圧ＶＤＤ２に基づいて動作する。半導体装置ＳＣ２は、少なくとも安全制御ソフトウェアＳＷ２、期待値（第１の期待値）Ｅ３、及び期待値（第２の期待値）Ｅ４を有する。半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２を実行する。それによって、半導体装置ＳＣ２は、角度センサＳＥから供給される情報信号ＭＳを得て、モータＭＴが異常もしくは正常であるかを判断する。半導体装置ＳＣ２が、モータＭＴの異常を検出した場合、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）を遮断回路ＩＮ２へ供給する。その結果、遮断回路ＩＮ２は、駆動信号ＤＳを遮断し、モータＭＴの動作が停止する。

更に、半導体装置ＳＣ２は、出力信号ＯＡ１及びＯＡ２を受け取り、半導体装置ＳＣ１へ供給される電源電圧ＶＤＤ１の値が異常もしくは正常であるかを判断する。言い換えれば、半導体装置ＳＣ２は、出力信号ＯＡ１及びＯＡ２に基づいて、電源装置ＶＳ１、電源監視装置ＶＭ１、又は電源配線ＶＭ１が故障しているかどうかを検出する。電源電圧ＶＤＤ１の値が異常である場合、半導体装置ＳＣ２は、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）を遮断回路ＩＮ２へ供給する。具体的には、半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２に基づいて、電圧監視結果（出力信号ＯＡ１）と期待値Ｅ３とを比較し、更に電圧監視結果（出力信号ＯＡ２）と期待値Ｅ４とを比較する。電圧監視結果（出力信号ＯＡ１）と期待値Ｅ３とが異なる場合、又は電圧監視結果（出力信号ＯＡ２）と期待値Ｅ４とが異なる場合は、半導体装置ＳＣ２は、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）を遮断回路ＩＮ２へ供給する。それに伴って、遮断回路ＩＮ２は、駆動信号ＤＳを遮断する。その結果、モータＭＴの動作が停止する。

また、半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２に基づいて、切替信号ＶＣ１を電源監視装置ＶＭ１へ供給する。

また、半導体装置ＳＣ１及びＳＣ２は、定期的に、相互通信を実施する。相互通信において、半導体装置ＳＣ１及びＳＣ２は、計算結果データや計算途中のデータを互いに送受信し、それらのデータを比較することで互いの故障を検出することが出来る。つまり、半導体装置ＳＣ１及びＳＣ２は、相互通信を実施することにより、互いの動作を監視している。それにより、システムの機能安全を確保することが出来る。

図２は、実施の形態１に係る電源監視装置ＶＭ１及びＶＭ２の構成例を説明するブロック図である。

図２に示すように、電源監視装置ＶＭ１は、電圧変換回路（第１の電圧変換回路）ＤＡ１、電圧変換回路（第２の電圧変換回路）ＤＡ２、比較回路（第１の比較回路）ＣＡ１、及び比較回路（第２の比較回路）ＣＡ２を有する。電源監視装置ＶＭ２は、電圧変換回路（第３の電圧変換回路）ＤＢ１、電圧変換回路（第４の電圧変換回路）ＤＢ２、比較回路（第３の比較回路）ＣＢ１、及び比較回路（第４の比較回路）ＣＢ２を有する。

電圧変換回路ＤＡ１は、抵抗（第１の抵抗）ＲＡ１、抵抗（第２の抵抗）ＲＡ２、抵抗（第３の抵抗）ＲＡ３、及びスイッチ（第１のスイッチ）ＳＡ１を有する。電圧変換回路ＤＡ２は、抵抗（第４の抵抗）ＲＡ４、抵抗（第５の抵抗）ＲＡ５、抵抗（第６の抵抗）ＲＡ６、及びスイッチ（第２のスイッチ）ＳＡ２を有する。電圧変換回路ＤＡ１及びＤＡ２は、抵抗分圧回路である。また、電源電圧ＶＤＤ１が供給される電圧ノードは、電源配線ＶＷ１に接続されている。

電圧変換回路ＤＡ１は、切替信号ＶＣ１に基づいて、電源電圧ＶＤＤ１から検出電圧（第１の検出電圧）ＶＡ１を生成し、検出電圧ＶＡ１を、電圧ノード（第１の検出電圧ノード）ＮＡ１から比較回路ＣＡ１へ供給する。また、検出電圧ＶＡ１は、切替信号ＶＣ１の電位レベルに基づいて、変化する。つまり、検出電圧ＶＡ１は、検出電圧（第１の分圧電圧）ＶＮＡ１と、検出電圧ＶＮＡ２（第２の分圧電圧）とを含む。

抵抗ＲＡ１は、電源電圧ＶＤＤ１が供給される電圧ノードに接続される。また、抵抗ＲＡ２は、抵抗ＲＡ１と並列に、電源電圧ＶＤＤ１の電圧ノードに接続される。抵抗ＲＡ２は、電源電圧ＶＤＤ１が供給される電圧ノードと、電圧ノードＮＡ１との間に配置（接続）されている。抵抗ＲＡ３は、電圧ノードＮＡ１を介して、抵抗ＲＡ２と直列に接続されている。抵抗ＲＡ３は、電圧ノードＮＡ１と接地電圧ノードの間に配置（接続）されている。さらに、抵抗ＲＡ１は、スイッチＳＡ１を介して、電圧ノードＮＡ１と接続されている。言い換えれば、スイッチＳＡ１は、抵抗ＲＡ１と電圧ノードＮＡ１との間に配置（接続）されている。また、スイッチＳＡ１は、切替信号ＶＣ１に従って、ＯＮ/ＯＦＦ状態に設定される。例えば、スイッチＳＡ１は、Ｌｏｗレベルの切替信号ＶＣ１に基づいて、ＯＦＦ状態に設定され、Ｈｉｇｈレベルの切替信号ＶＣ１に基づいて、ＯＮ状態に設定される。

図２に示すように、スイッチＳＡ１がＯＦＦ状態の場合、電圧変換回路ＤＡ１は、抵抗ＲＡ２と抵抗ＲＡ３を用いて、電源電圧ＶＤＤ１を分圧にする。それに伴って、電圧変換回路ＤＡ１は、電源電圧ＶＤＤ１を分圧した検出電圧ＶＡ１を、検出電圧ＶＮＡ１として、比較回路ＣＡ１へ供給する。つまり、切替信号ＶＣ１がＬｏｗレベルである場合に、電圧変換回路ＤＡ１は、検出電圧ＶＮＡ１を比較回路ＣＡ１へ供給する。

一方、スイッチＳＡ１がＯＮ状態の場合、電圧変換回路ＤＡ１は、抵抗ＲＡ１と抵抗ＲＡ２を組み合わせた並列抵抗と、抵抗ＲＡ３とを用いて、電源電圧ＶＤＤ１を分圧にする。それに伴って、電圧変換回路ＤＡ１は、電源電圧ＶＤＤ１を分圧した検出電圧ＶＡ１を、検出電圧ＶＮＡ２として、比較回路ＣＡ１へ供給する。つまり、切替信号ＶＣ１がＨｉｇｈレベルである場合に、電圧変換回路ＤＡ１は、検出電圧ＶＮＡ２を比較回路ＣＡ１へ供給する。

したがって、検出電圧ＶＮＡ１の値は、検出電圧ＶＮＡ２の値より低い。言い換えれば、切替信号ＶＣ１がＬｏｗレベルである場合の検出電圧ＶＡ１の値は、切替信号ＶＣ１がＨｉｇｈレベルである場合の検出電圧ＶＡ１の値より低い。

比較回路ＣＡ１は、検出電圧ＶＡ１（ＶＮＡ１又はＶＮＡ２）と基準電圧（第１の基準電圧）ＶｒｅＡと比較し、電圧監視結果（第１の電圧監視結果）を、出力信号ＯＡ１として、半導体装置ＳＣ２へ供給する。検出電圧ＶＡ１（ＶＮＡ１又はＶＮＡ２）が基準電圧ＶｒｅＡより大きい場合、比較回路ＣＡ１は、Ｈｉｇｈレベルの出力信号ＯＡ１を出力する。一方、検出電圧ＶＡ１（ＶＮＡ１又はＶＮＡ２）が基準電圧ＶｒｅＡより小さい場合、比較回路ＣＡ１は、Ｌｏｗレベルの出力信号ＯＡ１を出力する。また、後述で説明するが、第１の電圧監視結果は、第１の結果値と、第２の結果値とを含む。

比較回路ＣＡ１の一方の入力端子は、電圧ノードＮＡ１に接続され、検出電圧ＶＡ１を受け取る。比較回路ＣＡ１の他方の入力端子は、図２に図示されていない基準電圧生成回路に接続され、基準電圧生成回路から基準電圧ＶｒｅＡを受け取る。比較回路ＣＡ１は、切替信号ＶＣ１がＬｏｗレベルである場合、検出電圧ＶＮＡ１と基準電圧ＶｒｅＡと比較して、その電圧監視結果（第１の結果値）を、出力信号ＯＡ１として、半導体装置ＳＣ２へ供給する。比較回路ＣＡ１は、切替信号ＶＣ１がＨｉｇｈレベルである場合、検出電圧ＶＮＡ２と基準電圧ＶｒｅＡと比較して、その電圧監視結果（第２の結果値）を、出力信号ＯＡ１として、半導体装置ＳＣ２へ供給する。上述の電圧監視結果は、比較回路ＣＡ１による比較結果である。

電圧変換回路ＤＡ２は、切替信号ＶＣ１に基づいて、電源電圧ＶＤＤ１から検出電圧（第２の検出電圧）ＶＡ２を生成し、検出電圧ＶＡ２を、電圧ノード（第２の検出電圧ノード）ＮＡ２から比較回路ＣＡ２へ供給する。また、検出電圧ＶＡ２は、切替信号ＶＣ１の電位レベルに基づいて、変化する。つまり、検出電圧ＶＡ２は、検出電圧（第３の分圧電圧）ＶＮＡ３と、検出電圧（第４の分圧電圧）ＶＮＡ４とを含む。

抵抗ＲＡ４は、電源電圧ＶＤＤ１が供給される電圧ノードに接続される。また、抵抗ＲＡ４は、電源電圧ＶＤＤ１が供給される電圧ノードと電圧ノードＮＡ２との間に配置（接続）されている。抵抗ＲＡ５は、電圧ノードＮＡ２を介して、抵抗ＲＡ４と直列に接続さている。抵抗ＲＡ５は、接地電圧ノードに接続され、電圧ノードＮＡ２と接地電圧ノードとの間に配置（接続）されている。抵抗ＲＡ６は、抵抗ＲＡ５と並列に、接地電圧ノードに接続される。抵抗ＲＡ６は、スイッチＳＡ２を介して、電圧ノードＮＡ２と接続されている。言い換えれば、スイッチＳＡ２は、抵抗ＲＡ６と電圧ノードＮＡ２との間に配置（接続）されている。また、スイッチＳＡ２は、切替信号ＶＣ１に従って、ＯＮ/ＯＦＦ状態に設定される。例えば、スイッチＳＡ２は、Ｌｏｗレベルの切替信号ＶＣ１に基づいて、ＯＦＦ状態に設定され、Ｈｉｇｈレベルの切替信号ＶＣ１に基づいて、ＯＮ状態に設定される。

図２に示すように、スイッチＳＡ２がＯＦＦ状態の場合、電圧変換回路ＤＡ２は、抵抗ＲＡ４と抵抗ＲＡ５を用いて、電源電圧ＶＤＤ１を分圧にする。それに伴って、電圧変換回路ＤＡ２は、電源電圧ＶＤＤ１を分圧した検出電圧ＶＡ２を、検出電圧ＶＮＡ３として、比較回路ＣＡ２へ供給する。つまり、切替信号ＶＣ１がＬｏｗレベルである場合に、電圧変換回路ＤＡ２は、検出電圧ＶＮＡ３を比較回路ＣＡ２へ供給する。

一方、スイッチＳＡ２がＯＮ状態の場合、電圧変換回路ＤＡ２は、抵抗ＲＡ５と抵抗ＲＡ６を組み合わせた並列抵抗と、抵抗ＲＡ４とを用いて、電源電圧ＶＤＤ１を分圧にする。それに伴って、電圧変換回路ＤＡ２は、電源電圧ＶＤＤ１を分圧した検出電圧ＶＡ２を、検出電圧ＶＮＡ４として、比較回路ＣＡ２へ供給する。つまり、切替信号ＶＣ１がＬｏｗレベルである場合に、電圧変換回路ＤＡ２は、検出電圧ＶＮＡ４を比較回路ＣＡ２へ供給する。

したがって、検出電圧ＶＮＡ４の値は、検出電圧ＶＮＡ３の値より低い。言い換えれば、切替信号ＶＣ１がＨｉｇｈレベルである場合の検出電圧ＶＡ２の値は、切替信号ＶＣ１がＬｏｗレベルである場合の検出電圧ＶＡ２の値より低い。

比較回路ＣＡ２は、検出電圧ＶＡ２（ＶＮＡ３又はＶＮＡ４）と基準電圧（第１の基準電圧）ＶｒｅＡと比較して、電圧監視結果（第２の電圧監視結果）を出力信号ＯＡ２として、半導体装置ＳＣ２へ供給する。例えば、検出電圧ＶＡ２（ＶＮＡ３又はＶＮＡ４）が基準電圧ＶｒｅＡより大きい場合、比較回路ＣＡ２は、Ｈｉｇｈレベルの出力信号ＯＡ２を出力する。一方、検出電圧ＶＡ２（ＶＮＡ３又はＶＮＡ４）が基準電圧ＶｒｅＡより小さい場合、比較回路ＣＡ２は、Ｌｏｗレベルの出力信号ＯＡ２を出力する。また、後述で説明するが、第２の電圧監視結果は、第３の結果値と、第４の結果値とを含む。

比較回路ＣＡ２の一方の入力端子は、電圧ノードＮＡ２に接続され、検出電圧ＶＡ２を受け取る。比較回路ＣＡ２の他方の入力端子は、上述の基準電圧生成回路から基準電圧ＶｒｅＡを受け取る。比較回路ＣＡ２は、切替信号ＶＣ１がＬｏｗレベルである場合、検出電圧ＶＮＡ３と基準電圧ＶｒｅＡと比較して、その電圧監視結果（第３の結果値）を、出力信号ＯＡ２として、半導体装置ＳＣ２へ供給する。同様に、比較回路ＣＡ２は、切替信号ＶＣ１がＨｉｇｈレベルである場合、検出電圧ＶＮＡ４と基準電圧ＶｒｅＡと比較して、その電圧監視結果（第４の結果値）を、出力信号ＯＡ２として、半導体装置ＳＣ２へ供給する。上述の電圧監視結果は、比較回路ＣＡ２による比較結果である。

電圧変換回路ＤＢ１は、抵抗ＲＢ１、抵抗ＲＢ２、抵抗ＲＢ３、及びスイッチＳＢ１を有する。電圧変換回路ＤＢ２は、抵抗ＲＢ４、抵抗ＲＢ５、抵抗ＲＢ６、及びスイッチＳＢ２を有する。電圧変換回路ＤＢ１及びＤＢ２は、抵抗分圧回路である。また、電源電圧ＶＤＤ２が供給される電圧ノードは、電源配線ＶＷ２に接続されている。

電圧変換回路ＤＢ１は、切替信号ＶＣ２に基づいて、電源電圧ＶＤＤ２から検出電圧（第３の検出電圧）ＶＢ１を生成し、検出電圧ＶＢ１を、電圧ノード（第３の検出電圧ノード）ＮＢ１から比較回路ＣＢ１へ供給する。また、検出電圧ＶＢ１は、切替信号ＶＣ２の電位レベルに基づいて、変化する。つまり、検出電圧ＶＢ１は、検出電圧（第５の分圧電圧）ＶＮＢ１と、検出電圧（第６の分圧電圧）ＶＮＢ２とを含む。電圧変換回路ＤＢ１の回路構成は、電圧変換回路ＤＡ１の回路構成と同じため、具体的な説明は省略する。つまり、電源電圧ＶＤＤ２が供給される電圧ノードは、電源電圧ＶＤＤ１が供給される電圧ノードに対応している。抵抗ＲＢ１は、抵抗ＲＡ１に対応している。抵抗ＲＢ２は、抵抗ＲＡ２に対応している。抵抗ＲＢ３は、抵抗ＲＡ３に対応している。スイッチＳＢ１は、スイッチＳＡ１に対応している。また、電圧ノードＮＢ１は、電圧ノードＮＡ１に対応している。ただし、スイッチＳＢ１は、切替信号ＶＣ１ではなく、切替信号ＶＣ２に従って、ＯＮ/ＯＦＦ状態に設定される。例えば、スイッチＳＢ１は、Ｌｏｗレベルの切替信号ＶＣ２に基づいて、ＯＦＦ状態に設定され、Ｈｉｇｈレベルの切替信号ＶＣ２に基づいて、ＯＮ状態に設定される。

図２に示すように、スイッチＳＢ１がＯＦＦ状態の場合、電圧変換回路ＤＢ１は、抵抗ＲＢ２と抵抗ＲＢ３を用いて、電源電圧ＶＤＤ２を分圧にする。それに伴って、電圧変換回路ＤＢ１は、電源電圧ＶＤＤ２を分圧した検出電圧ＶＢ１を、検出電圧ＶＮＢ１として、比較回路ＣＢ１へ供給する。つまり、切替信号ＶＣ２がＬｏｗレベルである場合に、電圧変換回路ＤＢ１は、検出電圧ＶＮＢ１を比較回路ＣＢ１へ供給する。

一方、スイッチＳＢ１がＯＮ状態の場合、電圧変換回路ＤＢ１は、抵抗ＲＢ１と抵抗ＲＢ２を組み合わせた並列抵抗と、抵抗ＲＢ３とを用いて、電源電圧ＶＤＤ２を分圧にする。それに伴って、電圧変換回路ＤＢ１は、電源電圧ＶＤＤ２を分圧した検出電圧ＶＢ１を、検出電圧ＶＮＢ２として、比較回路ＣＢ１へ供給する。つまり、切替信号ＶＣ２がＨｉｇｈレベルである場合に、電圧変換回路ＤＢ１は、検出電圧ＶＮＢ２を比較回路ＣＢ１へ供給する。

したがって、検出電圧ＶＮＢ１の値は、検出電圧ＶＮＢ２の値より低い。言い換えれば、切替信号ＶＣ２がＬｏｗレベルのである場合の検出電圧ＶＢ１の値は、切替信号ＶＣ２がＨｉｇｈレベルのである場合の検出電圧ＶＢ１の値より低い。

比較回路ＣＢ１は、検出電圧ＶＢ１（ＶＮＢ１又はＶＮＢ２）と基準電圧（第２の基準電圧）ＶｒｅＢと比較して、電圧監視結果（第３の電圧監視結果）を出力信号ＯＢ１として、半導体装置ＳＣ１へ供給する。例えば、検出電圧ＶＢ１（ＶＮＢ１又はＶＮＢ２）が基準電圧ＶｒｅＡより大きい場合、比較回路ＣＢ１は、Ｈｉｇｈレベルの出力信号ＯＢ１を出力する。一方、検出電圧ＶＢ１（ＶＮＢ１又はＶＮＢ２）が基準電圧ＶｒｅＢより小さい場合、比較回路ＣＢ１は、Ｌｏｗレベルの出力信号ＯＢ１を出力する。また、後述で説明するが、第３の電圧監視結果は、第５の結果値と、第６の結果値とを含む。

比較回路ＣＢ１の一方の入力端子は、電圧ノードＮＢ１に接続され、検出電圧ＶＢ１を受け取る。比較回路ＣＢ１の他方の入力端子は、図２に図示されていない基準電圧生成回路に接続され、基準電圧生成回路から基準電圧ＶｒｅＢを受け取る。比較回路ＣＢ１は、切替信号ＶＣ２がＬｏｗレベルである場合、検出電圧ＶＮＢ１と基準電圧ＶｒｅＢと比較して、その電圧監視結果（第５の結果値）を、出力信号ＯＢ１として、半導体装置ＳＣ１へ供給する。同様に、比較回路ＣＢ１は、切替信号ＶＣ２がＨｉｇｈレベルである場合、検出電圧ＶＮＢ２と基準電圧ＶｒｅＢと比較して、その電圧監視結果（第６の結果値）を、出力信号ＯＢ１として、半導体装置ＳＣ１へ供給する。上述の電圧監視結果は、比較回路ＣＢ１による比較結果である。

電圧変換回路ＤＢ２は、切替信号ＶＣ２に基づいて、電源電圧ＶＤＤ２から検出電圧（第４の検出電圧）ＶＢ２を生成し、検出電圧ＶＢ２を、電圧ノード（第４の検出電圧ノード）ＮＢ２から比較回路ＣＢ２へ供給する。また、検出電圧ＶＡ２は、切替信号ＶＣ２の電位レベルに基づいて、変化する。つまり、検出電圧ＶＢ２は、検出電圧（第７の分圧電圧）ＶＮＢ３と、検出電圧（第８の分圧電圧）ＶＮＢ４とを含む。また、電圧変換回路ＤＢ２の回路構成は、電圧変換回路ＤＡ２の回路構成と同じため、具体的な説明は省略する。つまり、電源電圧ＶＤＤ２が供給される電圧ノードは、電源電圧ＶＤＤ１が供給される電圧ノードに対応している。抵抗ＲＢ４は、抵抗ＲＡ４に対応している。抵抗ＲＢ５は、抵抗ＲＡ５に対応している。抵抗ＲＢ６は、抵抗ＲＡ６に対応している。スイッチＳＢ２は、スイッチＳＡ２に対応している。また、電圧ノードＮＢ２は、電圧ノードＮＡ２に対応している。ただし、スイッチＳＢ２は、切替信号ＶＣ１ではなく、切替信号ＶＣ２に従って、ＯＮ/ＯＦＦ状態に設定される。例えば、スイッチＳＢ２は、Ｌｏｗレベルの切替信号ＶＣ２に基づいて、ＯＦＦ状態に設定され、Ｈｉｇｈレベルの切替信号ＶＣ２に基づいて、ＯＮ状態に設定される。

図２に示すように、スイッチＳＢ２がＯＦＦ状態の場合、電圧変換回路ＤＢ２は、抵抗ＲＢ４と抵抗ＲＢ５を用いて、電源電圧ＶＤＤ２を分圧にする。それに伴って、電圧変換回路ＤＢ２は、電源電圧ＶＤＤ２を分圧した検出電圧ＶＢ２を、検出電圧ＶＮＢ３として、比較回路ＣＢ２へ供給する。つまり、切替信号ＶＣ２がＬｏｗレベルである場合に、電圧変換回路ＤＢ２は、検出電圧ＶＮＢ３を比較回路ＣＢ２へ供給する。

一方、スイッチＳＢ２がＯＮ状態の場合、電圧変換回路ＤＢ２は、抵抗ＲＢ５と抵抗ＲＢ６を組み合わせた並列抵抗と、抵抗ＲＢ４とを用いて、電源電圧ＶＤＤ２を分圧にする。それに伴って、電圧変換回路ＤＢ２は、電源電圧ＶＤＤ２を分圧した検出電圧ＶＢ２を、検出電圧ＶＮＢ４として、比較回路ＣＢ２へ供給する。つまり、切替信号ＶＣ２がＨｉｇｈレベルである場合に、電圧変換回路ＤＢ２は、検出電圧ＶＮＢ４を比較回路ＣＢ２へ供給する。

したがって、検出電圧ＶＮＢ４の値は、検出電圧ＶＮＢ３の値より低い。言い換えれば、切替信号ＶＣ２がＨｉｇｈレベルである場合の検出電圧ＶＢ２の値は、切替信号ＶＣ２がＬｏｗレベルである場合の検出電圧ＶＢ２の値より低い。

比較回路ＣＢ２は、検出電圧ＶＢ２（ＶＮＢ３又はＶＮＢ４）と基準電圧（第２の基準電圧）ＶｒｅＢと比較して、電圧監視結果（第４の電圧監視結果）を出力信号ＯＢ２として、半導体装置ＳＣ１へ供給する。例えば、検出電圧ＶＢ２（ＶＮＢ３又はＶＮＢ４）が基準電圧ＶｒｅＢより大きい場合、比較回路ＣＢ２は、Ｈｉｇｈレベルの出力信号ＯＢ２を出力する。一方、検出電圧ＶＢ２（ＶＮＢ３又はＶＮＢ４）が基準電圧ＶｒｅＢより小さい場合、比較回路ＣＢ２は、Ｌｏｗレベルの出力信号ＯＢ２を出力する。また、後述で説明するが、第４の電圧監視結果は、第７の結果値と、第８の結果値とを含む。

比較回路ＣＢ２の一方の入力端子は、電圧ノードＮＢ２に接続され、検出電圧ＶＢ２を受け取る。比較回路ＣＢ２の他方の入力端子は、上述の基準電圧生成回路から基準電圧ＶｒｅＢを受け取る。比較回路ＣＢ２は、切替信号ＶＣ２がＬｏｗレベルである場合、検出電圧ＶＮＢ３と基準電圧ＶｒｅＢと比較して、その電圧監視結果（第７の結果値）を、出力信号ＯＢ２として、半導体装置ＳＣ１へ供給する。同様に、比較回路ＣＢ２は、切替信号ＶＣ２がＨｉｇｈレベルである場合、検出電圧ＶＮＢ４と基準電圧ＶｒｅＢと比較して、その電圧監視結果（第８の結果値）を、出力信号ＯＢ２として、半導体装置ＳＣ１へ供給する。上述の電圧監視結果は、比較回路ＣＢ２による比較結果である。

また、電源電圧ＶＤＤ１の値が一定である場合に、検出電圧ＶＮＡ１の値は、検出電圧ＶＮＡ３の値より低く、検出電圧ＶＮＡ４の値は、検出電圧ＶＮＡ２の値より低い。電源電圧ＶＤＤ２の値が一定である場合に、検出電圧ＶＮＢ１の値は、検出電圧ＶＮＢ３の値より低く、検出電圧ＶＮＢ４の値は、検出電圧ＶＮＢ２の値より低い。上述の関係になるように、電圧変換回路ＤＡ１、ＤＡ２、ＤＢ１、及びＤＢ２内の各々の抵抗の値は、設計されている。

図３は、実施の形態１に係る半導体装置ＳＣ１及びＳＣ２の構成例を説明するブロック図である。

図３に示すように、半導体装置ＳＣ１は、演算部１０Ａ、バス１１Ａ、ＲＯＭ（Read Only Memory）１２Ａ、ＲＡＭ（Random Access Memory）１３Ａ、タイマ１４Ａ、及び通信インターフェイス１５Ａを有する。半導体装置ＳＣ２は、演算部１０Ｂ、バス１１Ｂ、ＲＯＭ（Read Only Memory）１２Ｂ、ＲＡＭ（Random Access Memory）１３Ｂ、タイマ１４Ｂ、及び通信インターフェイス１５Ｂを有する。２重化の機能安全システムを構成する上で、半導体装置ＳＣ１の各回路と、半導体装置ＳＣ２の各回路は、互いに同じであること望ましい。

バス１１Ａは、演算部１０Ａと、周辺回路群（例えば、ＲＯＭ１２Ａ、ＲＡＭ１３Ａ、タイマ１４Ａ、及び通信インターフェイス１５Ａ）とを相互に接続する。

ＲＯＭ１２Ａは、安全制御ソフトウェアＳＷ１、期待値Ｅ１、及び期待値Ｅ２を格納している。期待値Ｅ１は、Ｌｏｗレベルの切替信号ＶＣ２に対応する期待値（第５の値）Ｅ１Ｌと、Ｈｉｇｈレベルの切替信号ＶＣ２に対応する期待値（第６の値）Ｅ１Ｈを含む。期待値Ｅ１Ｌは、Ｌｏｗレベルの値であり、期待値Ｅ１Ｈは、Ｈｉｇｈレベルの値である。期待値Ｅ２は、Ｌｏｗレベルの切替信号ＶＣ２に対応する期待値（第７の値）Ｅ２Ｌと、Ｈｉｇｈレベルの切替信号ＶＣ２に対応する期待値（第８の値）Ｅ２Ｈを含む。期待値Ｅ２Ｌは、Ｈｉｇｈレベルの値であり、期待値Ｅ２Ｈは、Ｌｏｗレベルの値である。具体的には、切替信号ＶＣ２がＬｏｗレベルである場合、期待値Ｅ１Ｌは、Ｌｏｗレベルの出力信号ＯＢ１であり、期待値Ｅ２Ｌは、Ｈｉｇｈレベルの出力信号ＯＢ２である。切替信号ＶＣ２がＨｉｇｈレベルである場合、期待値Ｅ１Ｈは、Ｈｉｇｈレベルの出力信号ＯＢ１であり、期待値Ｅ２Ｈは、Ｌｏｗレベルの出力信号ＯＢ２である。

ＲＡＭ１３Ａは、安全制御ソフトウェアＳＷ１の実行時に、一時的に使用されるデータを格納する。

タイマ１４Ａは、カウント値が予め設定された値に達すると、割り込み信号を演算部１０Ａに供給する。そのため、タイマ１４Ａは、割り込み信号を定期的に演算部１０Ａへ供給することが出来る。

演算部１０Ａは、ＲＯＭ１２Ａから安全制御ソフトウェアＳＷ１を読み出し、実行する。演算部１０Ａは、安全制御ソフトウェアＳＷ１を実行し、タイマ１４Ａ基づいて、切替信号ＶＣ２の電位レベルを変える。具体的には、演算部１０Ａは、タイマ１４Ａから供給される割り込み信号に基づいて、切替信号ＶＣ２の電位レベルを、定期的にＬｏｗレベルとＨｉｇｈレベルに変える。

更に、演算部１０Ａは、安全制御ソフトウェアＳＷ１を実行し、ＲＯＭ１２Ａから、期待値Ｅ１Ｌ及びＥ１Ｈを含む期待値Ｅ１と、期待値Ｅ２Ｌ及びＥ２Ｈを含む期待値Ｅ２とを読み出す。切替信号ＶＣ２がＬｏｗレベルである時に、演算部１０Ａは、安全制御ソフトウェアＳＷ１に基づいて、切替信号ＶＣ２がＬｏｗレベルである場合の出力信号ＯＢ１と、期待値Ｅ１Ｌとを比較する。同様に、演算部１０Ａは、切替信号ＶＣ２がＬｏｗレベルである場合の出力信号ＯＢ２と、期待値Ｅ２Ｌとを比較する。その結果、演算部１０Ａは、上述の出力信号ＯＢ１と期待値Ｅ１Ｌとが異なる場合、又は上述の出力信号ＯＢ２と期待値Ｅ２Ｌとが異なる場合に、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）を遮断回路ＩＮ１へ供給する。更に、切替信号ＶＣ２がＨｉｇｈレベルである時に、演算部１０Ａは、安全制御ソフトウェアＳＷ１に基づいて、切替信号ＶＣ２がＨｉｇｈレベルである場合の出力信号ＯＢ１と、期待値Ｅ１Ｈとを比較する。同様に、演算部１０Ａは、切替信号ＶＣ２がＨｉｇｈレベルである場合の出力信号ＯＢ２と、期待値Ｅ２Ｈとを比較する。その結果、演算部１０Ａは、上述の出力信号ＯＢ１と期待値Ｅ１Ｈとが異なる場合、又は上述の出力信号ＯＢ２と期待値Ｅ２Ｈとが異なる場合に、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）を遮断回路ＩＮ１へ供給する。それらによって、遮断回路ＩＮ１は、駆動信号ＤＳを遮断し、モータＭＴの駆動動作が停止する。

通信インターフェイス１５Ａは、半導体装置ＳＣ２と相互通信を実施する。具体的には、演算部１０Ａは、タイマ１４Ａから供給される割り込み信号に基づいて、定期的に、通信インターフェイス１５Ａを介して半導体装置ＳＣ２と相互通信を実施する。相互通信を実施するタイミングと、切替信号ＶＣ２の電位レベルを変化させるタイミングは、タイマ１４Ａからの共通の割り込み信号に基づいて実施されるため、それらのタイミングは同じである。

半導体装置ＳＣ２において、バス１１Ｂは、演算部１０Ｂと、周辺回路群（例えば、ＲＯＭ１２Ｂ、ＲＡＭ１３Ｂ、タイマ１４Ｂ、及び通信インターフェイス１５Ｂ）とを相互に接続する。

ＲＯＭ１２Ｂは、安全ソフトウェアＳＷ２、期待値Ｅ３、期待値Ｅ４を格納している。期待値Ｅ３は、Ｌｏｗレベルの切替信号ＶＣ１に対応する期待値（第１の値）Ｅ３Ｌと、Ｈｉｇｈレベルの切替信号ＶＣ１に対応する期待値（第２の値）Ｅ３Ｈを含む。期待値Ｅ３Ｌは、Ｌｏｗレベルの値であり、期待値Ｅ３Ｈは、Ｈｉｇｈレベルの値である。期待値Ｅ４は、Ｌｏｗレベルの切替信号ＶＣ１に対応する期待値（第３の値）Ｅ４Ｌと、Ｈｉｇｈレベルの切替信号ＶＣ１に対応する期待値（第４の値）Ｅ４Ｈを含む。期待値Ｅ４Ｌは、Ｈｉｇｈレベルの値であり、期待値Ｅ４Ｈは、Ｌｏｗレベルの値である。具体的には、切替信号ＶＣ１がＬｏｗレベルである場合、期待値Ｅ３Ｌは、Ｌｏｗレベルの出力信号ＯＡ１であり、期待値Ｅ４Ｌは、Ｈｉｇｈレベルの出力信号ＯＡ２である。切替信号ＶＣ１がＨｉｇｈレベルである場合、期待値Ｅ３Ｈは、Ｈｉｇｈレベルの出力信号ＯＡ１であり、期待値Ｅ４Ｈは、Ｌｏｗレベルの出力信号ＯＡ２である。

ＲＡＭ１３Ｂは、安全制御ソフトウェアＳＷ２の実行時に、一時的に使用されるデータを格納する。

タイマ１４Ｂは、カウント値が予め設定された値に達すると、割り込み信号を演算部１０Ｂに供給する。そのため、タイマ１４Ｂは、割り込み信号を定期的に演算部１０Ｂへ供給することが出来る。

演算部１０Ｂは、ＲＯＭ１２Ｂから安全制御ソフトウェアＳＷ２を読み出し、実行する。演算部１０Ｂは、安全制御ソフトウェアＳＷ２を実行し、タイマ１４Ｂに基づいて、切替信号ＶＣ１の電位レベルを変える。演算部１０Ｂは、タイマ１４Ｂから供給される割り込み信号に基づいて、切替信号ＶＣ１の電位レベルを、定期的にＬｏｗレベルとＨｉｇｈレベルに変える。

更に、演算部１０Ｂは、安全制御ソフトウェアＳＷ２を実行し、ＲＯＭ１２Ｂから、期待値Ｅ３Ｌ及びＥ３Ｈを含む期待値Ｅ３と、期待値Ｅ４Ｌ及びＥ４Ｈを含む期待値Ｅ４とを読み出す。切替信号ＶＣ１がＬｏｗレベルである時に、演算部１０Ｂは、安全制御ソフトウェアＳＷ２に基づいて、切替信号ＶＣ１がＬｏｗレベルである場合の出力信号ＯＡ１と、期待値Ｅ３Ｌとを比較する。同様に、演算部１０Ｂは、切替信号ＶＣ１がＬｏｗレベルである場合の出力信号ＯＡ２と、期待値Ｅ４Ｌとを比較する。その結果、演算部１０Ｂは、上述の出力信号ＯＡ１と期待値Ｅ３Ｌとが異なる場合、又は上述の出力信号ＯＡ２と期待値Ｅ４Ｌとが異なる場合に、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）を遮断回路ＩＮ２へ供給する。更に、切替信号ＶＣ１がＨｉｇｈレベルである時に、演算部１０Ｂは、安全制御ソフトウェアＳＷ２に基づいて、切替信号ＶＣ１がＨｉｇｈレベルである場合の出力信号ＯＡ１と、期待値Ｅ３Ｈとを比較する。同様に、演算部１０Ｂは、切替信号ＶＣ１がＨｉｇｈレベルである場合の出力信号ＯＡ２と、期待値Ｅ４Ｈとを比較する。その結果、演算部１０Ｂは、上述の出力信号ＯＡ１と期待値Ｅ３Ｈとが異なる場合、又は上述の出力信号ＯＡ２と期待値Ｅ４Ｈとが異なる場合に、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）を遮断回路ＩＮ２へ供給する。それらによって、遮断回路ＩＮ２は、駆動信号ＤＳを遮断し、モータＭＴの駆動動作が停止する。

通信インターフェイス１５Ｂは、半導体装置ＳＣ１と相互通信を実施する。具体的には、演算部１０Ｂは、タイマ１４Ｂから供給される割り込み信号に基づいて、定期的に、通信インターフェイス１５Ｂを介して半導体装置ＳＣ１と相互通信を実施する。相互通信を実施するタイミングと、切替信号ＶＣ１の電位レベルを変化させるタイミングは、タイマ１４Ｂからの共通の割り込み信号に基づいて実施されるため、それらのタイミングは同じである。

図４は、実施の形態１に係る電源監視装置ＶＭ１及びＶＭ２の出力結果例を説明する図である。図４には、電源監視装置ＶＭ１及びＶＭ２の出力結果（電圧監視結果）として、出力信号ＯＡ１、ＯＡ２、ＯＢ１、及びＯＢ２の電位レベルが記載されている。図４に示す「Ｈ」とは、Ｈｉｇｈレベルの電位を示し、「Ｌ」とは、Ｌｏｗレベルの電位を示している。

図４に示すように、半導体装置ＳＣ１及びＳＣ２の推奨上限電圧が、例えば、３．６〔Ｖ〕であり、半導体装置ＳＣ１及びＳＣ２の推奨下限電圧が、例えば、３．０〔Ｖ〕である。それに伴って、機能安全システム１の正常の動作電圧範囲は、半導体装置ＳＣ１及びＳＣ２の推奨下限電圧から推奨上限電圧までの範囲内が好ましい。そのため、図４に示すように、機能安全システム１の正常の動作電圧範囲は、３．５〔Ｖ〕～３．１〔Ｖ〕である。

本実施の形態においては、電源電圧ＶＤＤ１及びＶＤＤ２が、上述の動作電圧範囲内になるように、電源装置ＶＳ１及びＶＳ２を事前に設計する。また、電源監視装置ＶＭ１においても、上述の動作電圧範を考慮して、出力信号ＯＡ１及びＯＡ２の電位レベルが、図４に示した電位レベル通りに変化するように、事前に設計する。まずは、切替信号ＶＣ１がＬｏｗレベルの場合を下記に説明する。電源電圧ＶＤＤ１が３．５〔Ｖ〕以下である場合では、Ｌｏｗレベルの出力信号ＯＡ１が出力される。一方、電源電圧ＶＤＤ１が３．５〔Ｖ〕より大きい場合では、Ｈｉｇｈレベルの出力信号ＯＡ１が出力される。次に、切替信号ＶＣ１がＨｉｇｈレベルの場合を下記に説明する。電源電圧ＶＤＤ１が３．１〔Ｖ〕以上である場合では、Ｈｉｇｈレベルの出力信号ＯＡ１が出力される。一方、電源電圧ＶＤＤ１が３．１〔Ｖ〕より小さい場合では、Ｌｏｗレベルの出力信号ＯＡ１が出力される。したがって、切替信号ＶＣ１をＬｏｗレベルからＨｉｇｈレベルに遷移することによって、監視対象電圧値を下げることが出来る。

また、切替信号ＶＣ１がＬｏｗレベルの場合を下記に説明する。電源電圧ＶＤＤ１が３．１〔Ｖ〕以上である場合では、Ｈｉｇｈレベルの出力信号ＯＡ２が出力される。一方、電源電圧ＶＤＤ１が３．１〔Ｖ〕より小さい場合では、Ｌｏｗレベルの出力信号ＯＡ２が出力される。次に、切替信号ＶＣ１がＨｉｇｈレベルの場合を下記に説明する。電源電圧ＶＤＤ１が３．５〔Ｖ〕以下である場合では、Ｌｏｗレベルの出力信号ＯＡ２が出力される。一方、電源電圧ＶＤＤ１が３．５〔Ｖ〕より大きい場合では、Ｈｉｇｈレベルの出力信号ＯＡ２が出力される。したがって、切替信号ＶＣ１をＬｏｗレベルからＨｉｇｈレベルに遷移することによって、監視対象電圧値を上げることが出来る。電源監視装置ＶＭ１を設計する上では、上述の構成になるように、抵抗ＲＡ１、ＲＡ２、ＲＡ３、ＲＡ４、ＲＡ５、及びＲＡ６の各抵抗値と、基準電圧ＶｒｅＡの値とを算出する必要がある。

また、電源監視装置ＶＭ２は、電源監視装置ＶＭ１と同様の構造であるため、出力信号ＯＢ１及びＯＢ２の電位レベルに関する説明は、省略する。つまり、出力信号ＯＢ１が、出力信号ＯＡ１に対応し、出力信号ＯＢ２が、出力信号ＯＡ２に対応する。更に、切替信号ＶＣ２が、切替信号ＶＣ１に対応している。

図５は、実施の形態１に係る電源監視装置ＶＭ１及びＶＭ２の動作について説明する図である。図５には、図４に基づいた電源監視装置ＶＭ１及びＶＭ２の動作として、ケース１、及びケース２を例示している。また、図５に示す「Ｈ」とは、Ｈｉｇｈレベルの電位を示し、「Ｌ」とは、Ｌｏｗレベルの電位を示している。さらに、期待値Ｅ１、Ｅ２、Ｅ３、及びＥ４は、上述で説明した値が設定されている。

図５において、相互通信のタイミングと、切替信号ＶＣ１又はＶＣ２の電位レベルが変わるタイミングは、同じである。具体的には、時刻Ｔ１及びＴ３において、切替信号ＶＣ１又はＶＣ２が、ＨｉｇｈレベルからＬｏｗレベルへ移行する時に、相互通信が実施される。時刻Ｔ２において、切替信号ＶＣ１又はＶＣ２が、ＬｏｗレベルからＨｉｇｈレベルへ移行する時に、相互通信が実施される。

ケース１は、電源電圧ＶＤＤ１又はＶＤＤ２の値が、機能安全システム１の正常の動作電圧範囲内である場合の例である。図４に基づいて、例えば、電源電圧ＶＤＤ１又はＶＤＤ２の値は、３．３〔Ｖ〕である。

ケース１の場合の電源監視装置ＶＭ１と半導体装置ＳＣ２の動作について、以下に説明する。時刻Ｔ１に、切替信号ＶＣ１が、ＨｉｇｈレベルからＬｏｗレベルへ遷移し、その結果、スイッチＳＡ１及びＳＡ２が、ＯＦＦ状態に設定される。それに伴って、電圧変換回路ＤＡ１が、電源電圧ＶＤＤ１から検出電圧ＶＮＡ１を生成し、電圧変換回路ＤＡ２が、電源電圧ＶＤＤ１から検出電圧ＶＮＡ３を生成する。比較回路ＣＡ１は、検出電圧ＶＮＡ１と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｌｏｗレベルの出力信号ＯＡ１を半導体装置ＳＣ２へ出力する。比較回路ＣＡ２は、検出電圧ＶＮＡ３と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＡ２を半導体装置ＳＣ２へ出力する。また、時刻Ｔ１において、上述したように、検出電圧ＶＮＡ１は、検出電圧ＶＮＡ３より低い値であるため、電圧変換回路ＤＡ１は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の上限電圧より低いかを監視している。一方、検出電圧ＶＮＡ３は、検出電圧ＶＮＡ１より高い値であるため、電圧変換回路ＤＡ２は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の下限電圧より高いかを監視している。したがって、時刻Ｔ１で、電源監視装置ＶＭ１は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲内であるかどうかを監視することが出来る。

時刻Ｔ１に、半導体装置ＳＣ２は、電源監視装置ＶＭ１の電圧監視結果として、Ｌｏｗレベルの出力信号ＯＡ１及びＨｉｇｈレベルの出力信号ＯＡ２を受け取る。それに伴って、半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２に基づいて、電圧監視結果（Ｌｏｗレベルの出力信号ＯＡ１）と期待値Ｅ３Ｌとを比較し、更に電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ２）と期待値Ｅ４Ｌとを比較する。電圧監視結果（Ｌｏｗレベルの出力信号ＯＡ１）は、期待値Ｅ３Ｌと同じであり、更に電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ２）は、期待値Ｅ４Ｌと同じであるため、半導体装置ＳＣ２は、例えば、Ｈｉｇｈレベルの制御信号ＣＳ２を、遮断回路ＩＮ２へ供給する。

つまり、時刻Ｔ１において、半導体装置ＳＣ２は、電源電圧ＶＤＤ１の値が、機能安全システム１の動作電圧範囲内であると判断する。言い換えれば、半導体装置ＳＣ２は、電源装置ＶＳ１、電源配線ＶＷ１、及び電源監視装置ＶＭ１が故障していないと判断する。

遮断回路ＩＮ２は、Ｈｉｇｈレベルの制御信号ＣＳ２に基づいて、駆動信号ＤＳを遮断しない。そのため、モータＭＴは回転し続ける。

時刻Ｔ２に、切替信号ＶＣ１が、ＬｏｗレベルからＨｉｇｈレベルへ遷移し、その結果、スイッチＳＡ１及びＳＡ２が、ＯＮ状態に設定される。それに伴って、電圧変換回路ＤＡ１が、電源電圧ＶＤＤ１から検出電圧ＶＮＡ２を生成し、電圧変換回路ＤＡ２が、電源電圧ＶＤＤ１から検出電圧ＶＮＡ４を生成する。比較回路ＣＡ１は、検出電圧ＶＮＡ２と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＡ１を半導体装置ＳＣ２へ出力する。比較回路ＣＡ２は、検出電圧ＶＮＡ４と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｌｏｗレベルの出力信号ＯＡ２を半導体装置ＳＣ２へ出力する。また、上述したように、検出電圧ＶＮＡ４は、検出電圧ＶＮＡ２より低い値であるため、電圧変換回路ＤＡ２は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の上限電圧より低いかを監視している。一方、検出電圧ＶＮＡ２は、検出電圧ＶＮＡ４より高い値であるため、電圧変換回路ＤＡ１は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の下限電圧より高いかを監視している。したがって、時刻Ｔ１と同様に、時刻Ｔ２でも、電源監視装置ＶＭ１は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲内であるかどうかを監視することが出来る。

時刻Ｔ２に、半導体装置ＳＣ２は、電源監視装置ＶＭ１の電圧監視結果として、Ｈｉｇｈレベルの出力信号ＯＡ１及びＬｏｗレベルの出力信号ＯＡ２を受け取る。それに伴って、半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２に基づいて、電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ１）と期待値Ｅ３とを比較し、更に電圧監視結果（Ｌｏｗレベルの出力信号ＯＡ２）と期待値Ｅ４Ｈとを比較する。電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ１）は、期待値Ｅ３Ｈと同じであり、更に電圧監視結果（Ｌｏｗレベルの出力信号ＯＡ２）は、期待値Ｅ４Ｈと同じであるため、半導体装置ＳＣ２は、上述と同様に、Ｈｉｇｈレベルの制御信号ＣＳ２を、遮断回路ＩＮ２へ供給する。

つまり、時刻Ｔ２においても、半導体装置ＳＣ２は、電源電圧ＶＤＤ１の値が、機能安全システム１の動作電圧範囲内であると判断する。言い換えれば、半導体装置ＳＣ２は、電源装置ＶＳ１、電源配線ＶＷ１、及び電源監視装置ＶＭ１が故障していないと判断する。そのため、上述と同様に、モータＭＴは回転し続ける。

また、上述のように、電源監視装置ＶＭ１は、切替信号ＶＣ１の電位レベルの反転に応じて、出力信号ＯＡ１の電位レベルを反転させる。そのため、時刻Ｔ１及びＴ２を通しても、電源監視装置ＶＭ１は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲内にあるかどうかを監視することも出来る。具体的には、検出電圧ＶＮＡ１は、検出電圧ＶＮＡ２より低い値であるため、電圧変換回路ＤＡ１及び比較回路ＣＡ１は、時刻Ｔ１で、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の上限電圧より低いかを監視している。一方、検出電圧ＶＮＡ２は、検出電圧ＶＮＡ１より高い値であるため、電圧変換回路ＤＡ１及び比較回路ＣＡ１は、時刻Ｔ２で、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の下限電圧より高いかを監視している。

また、上述のように、電源監視装置ＶＭ１は、切替信号ＶＣ１の電位レベルの反転に応じて、出力信号ＯＡ２の電位レベルも反転させる。そのため、上述と同様に、時刻Ｔ１及びＴ２を通しても、電源監視装置ＶＭ１は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲内にあるかどうかを監視することも出来る。具体的には、検出電圧ＶＮＡ３は、検出電圧ＶＮＡ４より高い値であるため、それによって、電圧変換回路ＤＡ２及び比較回路ＣＡ２は、時刻Ｔ１で、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の下限電圧より高いかを監視している。一方、検出電圧ＶＮＡ４は、検出電圧ＶＮＡ３より低い値であるため、電圧変換回路ＤＡ２及び比較回路ＣＡ２は、時刻Ｔ２で、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の上限電圧より低いかを監視している。

ケース１の場合の電源監視装置ＶＭ２と半導体装置ＳＣ１の動作について、以下に説明する。ただし、上述と同様の動作であるため、詳細な説明は省略する。時刻Ｔ１で、電圧変換回路ＤＢ１が、電源電圧ＶＤＤ２から検出電圧ＶＮＢ１を生成し、電圧変換回路ＤＢ２が、電源電圧ＶＤＤ２から検出電圧ＶＮＢ３を生成する。時刻Ｔ１において、比較回路ＣＢ１は、検出電圧ＶＮＢ１と基準電圧ＶｒｅＢと比較し、その比較結果に応じて、Ｌｏｗレベルの出力信号ＯＢ１を半導体装置ＳＣ１へ出力する。比較回路ＣＢ２は、検出電圧ＶＮＢ３と基準電圧ＶｒｅＢと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＢ２を半導体装置ＳＣ１へ出力する。上述の同様に、時刻Ｔ１において、電圧変換回路ＤＢ１は、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲の上限電圧より低いかを監視している。一方、電圧変換回路ＤＢ２は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の下限電圧より高いかを監視している。したがって、時刻Ｔ１で、電源監視装置ＶＭ２は、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲内であるかどうかを監視することが出来る。

時刻Ｔ１で、半導体装置ＳＣ１は、電源監視装置ＶＭ２の電圧監視結果として、Ｌｏｗレベルの出力信号ＯＢ１及びＨｉｇｈレベルの出力信号ＯＢ２を受け取る。半導体装置ＳＣ１は、安全制御ソフトウェアＳＷ１に基づいて、電圧監視結果（Ｌｏｗレベルの出力信号ＯＢ１）と期待値Ｅ１Ｌとを比較し、電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＢ２）と期待値Ｅ２Ｌとを比較する。電圧監視結果（Ｌｏｗレベルの出力信号ＯＢ１）は、期待値Ｅ１Ｌと同じであり、更に電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＢ２）は、期待値Ｅ２Ｌと同じであるため、半導体装置ＳＣ１は、例えば、Ｈｉｇｈレベルの制御信号ＣＳ１を、遮断回路ＩＮ１へ供給する。

つまり、時刻Ｔ１において、半導体装置ＳＣ１は、電源電圧ＶＤＤ２の値が、機能安全システム１の動作電圧範囲内であると判断する。言い換えれば、半導体装置ＳＣ１は、電源装置ＶＳ２、電源配線ＶＷ３、及び電源監視装置ＶＭ４が故障していないと判断する。そのため、遮断回路ＩＮ１は、Ｈｉｇｈレベルの制御信号ＣＳ１に基づいて、駆動信号ＤＳを遮断しない。その結果、モータＭＴは回転し続ける。

時刻Ｔ２で、電圧変換回路ＤＢ１が、電源電圧ＶＤＤ２から検出電圧ＶＮＢ２を生成し、電圧変換回路ＤＢ２が、電源電圧ＶＤＤ２から検出電圧ＶＮＢ４を生成する。時刻Ｔ２において、比較回路ＣＢ１は、検出電圧ＶＮＢ２と基準電圧ＶｒｅＢと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＢ１を半導体装置ＳＣ１へ出力する。比較回路ＣＢ２は、検出電圧ＶＮＢ４と基準電圧ＶｒｅＢと比較し、その比較結果に応じて、Ｌｏｗレベルの出力信号ＯＢ２を半導体装置ＳＣ１へ出力する。時刻Ｔ２において、電圧変換回路ＤＢ２は、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲の上限電圧より低いかを監視している。一方、電圧変換回路ＤＢ１は、電源電圧ＶＤＤ１が機能安全システム１の正常の動作電圧範囲の下限電圧より高いかを監視している。したがって、時刻Ｔ２で、電源監視装置ＶＭ２は、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲内であるかどうかを監視することも出来る。

時刻Ｔ２で、半導体装置ＳＣ１は、電源監視装置ＶＭ２の電圧監視結果として、Ｈｉｇｈレベルの出力信号ＯＢ１及びＬｏｗレベルの出力信号ＯＢ２を受け取る。半導体装置ＳＣ１は、安全制御ソフトウェアＳＷ１に基づいて、電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＢ１）と期待値Ｅ１Ｈとを比較し、電圧監視結果（Ｌｏｗレベルの出力信号ＯＢ２）と期待値Ｅ２Ｈとを比較する。電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＢ１）は、期待値Ｅ１Ｈと同じであり、更に電圧監視結果（Ｌｏｗレベルの出力信号ＯＢ２）は、期待値Ｅ２Ｈと同じであるため、半導体装置ＳＣ１は、制御信号ＣＳ１（例えば、Ｈｉｇｈレベルの制御信号ＣＳ１）を、遮断回路ＩＮ１へ供給する。

つまり、時刻Ｔ２においても、半導体装置ＳＣ１は、電源電圧ＶＤＤ２の値が、機能安全システム１の動作電圧範囲内であると判断する。言い換えれば、半導体装置ＳＣ１は、電源装置ＶＳ２、電源配線ＶＷ２、及び電源監視装置ＶＭ２が故障していないと判断する。そのため、上述と同様に、モータＭＴは回転し続ける。

また、上述のように、電源監視装置ＶＭ２は、切替信号ＶＣ２の電位レベルの反転に応じて、出力信号ＯＢ１の電位レベルを反転させる。そのため、時刻Ｔ１及びＴ２を通しても、電源監視装置ＶＭ２は、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲内にあるかどうかを監視することも出来る。具体的には、検出電圧ＶＮＢ１は、検出電圧ＶＮＢ２より低い値であるため、電圧変換回路ＤＢ１及び比較回路ＣＢ１は、時刻Ｔ１で、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲の上限電圧より低いかを監視している。一方、検出電圧ＶＮＢ２は、検出電圧ＶＮＢ１より高い値であるため、電圧変換回路ＤＢ１及び比較回路ＣＢ１は、時刻Ｔ２で、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲の下限電圧より高いかを監視している。

また、上述のように、電源監視装置ＶＭ２は、切替信号ＶＣ２の電位レベルの反転に応じて、出力信号ＯＢ２の電位レベルも反転させる。そのため、時刻Ｔ１及びＴ２を通しても、電源監視装置ＶＭ２は、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲内にあるかどうかを監視することも出来る。具体的には、検出電圧ＶＮＢ３は、検出電圧ＶＮＢ４より高い値であるため、それによって、電圧変換回路ＤＢ２及び比較回路ＣＢ２は、時刻Ｔ１で、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲の下限電圧より高いかを監視している。一方、検出電圧ＶＮＢ４は、検出電圧ＶＮＢ３より低い値であるため、電圧変換回路ＤＢ２及び比較回路ＣＢ２は、時刻Ｔ２で、電源電圧ＶＤＤ２が機能安全システム１の正常の動作電圧範囲の上限電圧より低いかを監視している。

ケース２は、電源装置ＶＳ１又は電源配線ＶＷ１等の故障よって、電源電圧ＶＤＤ１が、機能安全システム１の正常の動作電圧範囲より高い場合である。または、ケース２は、電源装置ＶＳ２又は電源配線ＶＷ２等の故障よって、電源電圧ＶＤＤ２が、機能安全システム１の正常の動作電圧範囲より高い場合である。図４に基づいて、電源電圧ＶＤＤ１又はＶＤＤ２の値は、例えば、３．７〔Ｖ〕である。

ケース２において、半導体装置ＳＣ１及びＳＣ２は、安定して動作することが出来ないため、機能安全システム１としても安定して動作しない可能性がある。したがって、機能安全システム１は、駆動信号ＤＳを遮断し、モータＭＴの動作を停止させる必要がある。

ケース２の場合の電源監視装置ＶＭ１と半導体装置ＳＣ２の動作について、以下に説明する。時刻Ｔ１において、ケース２の電源電圧ＶＤＤ１の値は、ケース１の電源電圧ＶＤＤ１の値より高いため、それに伴い、ケース２の検出電圧ＶＮＡ１及び検出電圧ＶＮＡ３の値は、ケース１の検出電圧ＶＮＡ１及び検出電圧ＶＮＡ３の値とは異なる。そのため、ケース１の時刻Ｔ１と異なり、ケース２の時刻Ｔ１において、比較回路ＣＡ１は、検出電圧ＶＮＡ１と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＡ１を半導体装置ＳＣ２へ出力する。比較回路ＣＡ２は、検出電圧ＶＮＡ３と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＡ２を半導体装置ＳＣ２へ出力する。

ケース２において、時刻Ｔ１に、半導体装置ＳＣ２は、電源監視装置ＶＭ１の電圧監視結果として、Ｈｉｇｈレベルの出力信号ＯＡ１及びＯＡ２を受け取る。それに伴って、上述したように、半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２に基づいて、電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ１）と期待値Ｅ３Ｌとを比較し、更に電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ２）と期待値Ｅ４Ｌとを比較する。少なくとも、電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ１）は、期待値Ｅ３Ｌと異なるため、半導体装置ＳＣ２は、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）を、遮断回路ＩＮ２へ供給する。遮断回路ＩＮ２は、Ｌｏｗレベルの制御信号ＣＳ２に基づいて、駆動信号ＤＳを遮断する。その結果、モータＭＴの回転動作が停止する。

つまり、時刻Ｔ１において、半導体装置ＳＣ２は、電源電圧ＶＤＤ１の値が、機能安全システム１の動作電圧範囲外であると判断する。言い換えれば、半導体装置ＳＣ２は、電源装置ＶＳ１、又は電源配線ＶＷ１等が故障していると判断する。そのため、遮断回路ＩＮ２は、Ｌｏｗレベル制御信号ＣＳ２に基づいて、駆動信号ＤＳを遮断する。その結果、モータＭＴの回転動作が停止する。これにより、機能安全システム１の安全性を確保することが出来る。

時刻Ｔ２において、ケース２の電源電圧ＶＤＤ１の値は、ケース１の電源電圧ＶＤＤ１の値より高いため、それに伴い、ケース２の検出電圧ＶＮＡ２及び検出電圧ＶＮＡ４の値は、ケース１の検出電圧ＶＮＡ２及び検出電圧ＶＮＡ４の値とは異なる。そのため、ケース１の時刻Ｔ２と異なり、ケース２の時刻Ｔ２において、比較回路ＣＡ２は、検出電圧ＶＮＡ４と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＡ２を半導体装置ＳＣ２へ出力する。比較回路ＣＡ１は、検出電圧ＶＮＡ２と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＡ１を半導体装置ＳＣ２へ出力する。

時刻Ｔ２において、半導体装置ＳＣ２は、電源監視装置ＶＭ１の電圧監視結果として、時刻Ｔ１と同様に、Ｈｉｇｈレベルの出力信号ＯＡ１及びＯＡ２を受け取る。それに伴って、上述したように、半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２に基づいて、電圧監視結果（Ｈｉｇｈレベル信号ＯＡ１）と期待値Ｅ３Ｈとを比較し、更に電圧監視結果（Ｈｉｇｈレベル信号ＯＡ２）と期待値Ｅ４Ｈとを比較する。少なくとも、電圧監視結果（Ｈｉｇｈレベル信号ＯＡ２）は、期待値Ｅ４Ｈと異なるため、半導体装置ＳＣ２は、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）を、遮断回路ＩＮ２へ供給する。

つまり、時刻Ｔ２においても、半導体装置ＳＣ２は、電源電圧ＶＤＤ１の値が、機能安全システム１の動作電圧範囲外であると判断する。そのため、上述と同様に、モータＭＴの回転動作を停止させ、機能安全システム１の安全性を確保することが出来る。

ケース２の場合の電源監視装置ＶＭ２と半導体装置ＳＣ１の動作について、上述と同様であるため、詳細な説明については、省略する。ケース２の電源電圧ＶＤＤ２の値は、ケース１の電源電圧ＶＤＤ２の値より高いため、それに伴い、ケース２の検出電圧ＶＮＢ１及び検出電圧ＶＮＢ３の値は、ケース１の検出電圧ＶＮＢ１及び検出電圧ＶＮＢ３の値とは異なる。同様に、ケース２の検出電圧ＶＮＢ２及び検出電圧ＶＮＢ４の値は、ケース１の検出電圧ＶＮＢ２及び検出電圧ＶＮＢ４の値とは異なる。

そのため、ケース１の時刻Ｔ１と異なり、ケース２の時刻Ｔ１において、比較回路ＣＢ１は、検出電圧ＶＮＢ１と基準電圧ＶｒｅＢと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＢ１を半導体装置ＳＣ１へ出力する。それに伴って、半導体装置ＳＣ２は、少なくとも電圧監視結果（Ｈｉｇｈレベル信号ＯＢ１）は、期待値Ｅ１Ｌと異なるため、半導体装置ＳＣ１は、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）を、遮断回路ＩＮ１へ供給する。

また、ケース１の時刻Ｔ２と異なり、ケース２の時刻Ｔ２において、比較回路ＣＢ２は、検出電圧ＶＮＢ４と基準電圧ＶｒｅＢと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＢ２を半導体装置ＳＣ１へ出力する。それに伴って、半導体装置ＳＣ２は、少なくとも電圧監視結果（Ｈｉｇｈレベル信号ＯＢ２）は、期待値Ｅ２Ｈと異なるため、半導体装置ＳＣ１は、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）を、遮断回路ＩＮ１へ供給する。

つまり、時刻Ｔ１及びＴ２において、半導体装置ＳＣ１は、電源電圧ＶＤＤ２の値が、機能安全システム１の動作電圧範囲外であると判断する。言い換えれば、半導体装置ＳＣ１は、電源装置ＶＳ２又は電源配線ＶＷ２等が故障していると判断する。そのため、遮断回路ＩＮ１は、Ｌｏｗレベル制御信号ＣＳ１に基づいて、駆動信号ＤＳを遮断する。その結果、モータＭＴの回転動作が停止する。これにより、機能安全システム１の安全性を確保することが出来る。

また、図５には、図示していないが、電源装置ＶＳ１又はＶＳ２、電源配線ＶＷ１又はＶＷ２等の故障により、電源電圧ＶＤＤ１又はＶＤＤ２が、機能安全システム１の正常の動作電圧範囲より低い場合もある。例えば、電源電圧ＶＤＤ１又は電源電圧ＶＤＤ２の値は、２．９〔Ｖ〕である。その場合においても、モータＭＴの回転動作を停止させ、機能安全システム１の安全性を確保することが出来る。図４に示すように、切替信号ＶＣ１がＬｏｗレベルの場合、出力信号ＯＡ２は、Ｌｏｗレベルであるため、上述のように半導体装置ＳＣ２は、駆動信号ＤＳを遮断させる。一方、切替信号ＶＣ１がＨｉｇｈレベルの場合、出力信号ＯＡ１は、Ｌｏｗレベルであるため、上述のように半導体装置ＳＣ２は、駆動信号ＤＳを遮断させる。また、切替信号ＶＣ２がＬｏｗレベルの場合、出力信号ＯＢ２は、Ｌｏｗレベルであるため、上述のように半導体装置ＳＣ１は、駆動信号ＤＳを遮断させる。一方、切替信号ＶＣ２がＨｉｇｈレベルの場合、出力信号ＯＢ１は、Ｌｏｗレベルであるため、上述のように半導体装置ＳＣ１は、駆動信号ＤＳを遮断させる。

したがって、半導体装置ＳＣ１は、切替信号ＶＣ２がＬｏｗレベルである間で、少なくとも電源装置ＶＳ２及び電源配線ＶＷ２等に対して故障がないかどうかを判断することが出来る。更に、半導体装置ＳＣ１は、切替信号ＶＣ２がＨｉｇｈレベルの間でも、少なくとも電源装置ＶＳ２及び電源配線ＶＷ２等に対して故障がないかどうかを判断することが出来る。そのため、高信頼の機能安全システム１を提供することが出来る。

同様に、半導体装置ＳＣ２は、切替信号ＶＣ１がＬｏｗレベルの間で、少なくとも電源装置ＶＳ１及び電源配線ＶＷ１に対して異常がないかどうかを判断することが出来る。更に、半導体装置ＳＣ２は、切替信号ＶＣ１がＨｉｇｈレベルの間でも、少なくとも電源装置ＶＳ１及び電源配線ＶＷ１に対して異常がないかどうかを判断することが出来る。そのため、高信頼の機能安全システム１を提供することが出来る。

更に、上述したように、電源監視装置ＶＭ１は、切替信号ＶＣ１の電位レベルの変化に応じて、出力信号ＯＡ１及びＯＡ２の電位レベルも変化させているため、半導体装置ＳＣ２は、電源監視装置ＶＭ１自体も正常に動作しているかどうかを判断することが出来る。例えば、切替信号ＶＣ１の電位レベルの変化に応じて、出力信号ＯＡ１の電位レベルは変化するが、出力信号ＯＡ２の電位レベルが変化しない場合がある。その場合、電源監視装置ＶＭ１は故障している可能性がある。その場合も、上述のように、半導体装置ＳＣ２は、駆動信号ＤＳを遮断させる。そのため、より高信頼の機能安全システム１を提供することが出来る。

また、電源監視装置ＶＭ２は、切替信号ＶＣ２の電位レベルの変化に応じて、出力信号ＯＢ１及びＯＢ２の電位レベルも変化させているため、半導体装置ＳＣ１は、電源監視装置ＶＭ２自体も正常に動作しているかどうかを判断することが出来る。例えば、切替信号ＶＣ２の電位レベルの変化に応じて、出力信号ＯＢ１の電位レベルは変化するが、出力信号ＯＢ２の電位レベルが変化しない場合がある。その場合、電源監視装置ＶＭ２は故障している可能性がある。その場合も、上述のように、半導体装置ＳＣ１は、駆動信号ＤＳを遮断させる。そのため、より高信頼の機能安全システム１を提供することが出来る。

また、電源監視装置ＶＭ１は、切替信号ＶＣ１の電位レベルの変化に応じて、出力信号ＯＡ１及びＯＡ２の電位レベルも変化させるため、機能安全システム１は、電源電圧ＶＤＤ１の値を変えなくても、電源装置ＶＳ１、電源配線ＶＷ１、及び電源監視装置ＶＭ１に対して、故障がないかどうかを判断することが出来る。同様に、電源監視装置ＶＭ２は、切替信号ＶＣ２の電位レベルの変化に応じて、出力信号ＯＢ１及びＯＢ２の電位レベルを変化させるため、機能安全システム１は、電源電圧ＶＤＤ２の値を変えなくても、電源装置ＶＳ２、電源配線ＶＷ２、及び電源監視装置ＶＭ２に対して、故障がないかどうかを判断することが出来る。そのため、機能安全システム１は、通常動作中において、それらの故障を検出することが出来る。

また、機能安全システム１として、ケース１の場合の出力信号ＯＡ１及びＯＡ２と、ケース２の場合の出力信号ＯＢ１及びＯＢ２とを組み合わせケースもある。その場合は、上述したように、半導体装置ＳＣ２は、通常の動作を実施するが、半導体装置ＳＣ１は、遮断回路ＩＮ１を制御して、駆動信号ＤＳの供給を遮断する。その結果、モータＭＴの回転動作が停止する。そのため、機能安全システム１は、半導体装置ＳＣ１及びＳＣ２を使用して２重化の機能安全システムを構成することが出来る。

［実施の形態２］
図６は、実施の形態２に係る機能安全システム２の構成例を説明するブロック図である。

機能安全システム２は、機能安全システム１の電源監視装置ＶＭ１の代わりに、電源監視装置（第１の電源監視装置）ＶＭ３を有する。電源監視装置ＶＭ３は、電源監視装置ＶＭ１と異なり、出力信号ＯＡ２を半導体装置ＳＣ２へ供給しない。また、機能安全システム２は、機能安全システム１の電源監視装置ＶＭ２の代わりに、電源監視装置（第２の電源監視装置）ＶＭ４を有する。電源監視装置ＶＭ４は、電源監視装置ＶＭ２と異なり、出力信号ＯＢ２を半導体装置ＳＣ１へ供給しない。

機能安全システム２において、電源監視装置ＶＭ３及びＶＭ４以外の構成は、機能安全システム１と同様であるため、同一の符号を付し、説明は省略する。ただし、実施の形態２の半導体装置ＳＣ１は、実施の形態１の半導体装置ＳＣ１と異なり、期待値Ｅ２を有していない。また、実施の形態２の半導体装置ＳＣ２は、実施の形態１の半導体装置ＳＣ２と異なり、期待値Ｅ４を有していない。

図７は、実施の形態２に係る電源監視装置ＶＭ３及びＶＭ４の構成例を説明するブロック図である。

図７に示すように、電源監視装置ＶＭ３は、電源監視装置ＶＭ１と同様に、電圧変換回路ＤＡ１及び比較回路ＣＡ１を有している。したがって、電源監視装置ＶＭ３は、電源監視装置ＶＭ１と同様に、出力信号ＯＡ１を半導体装置ＳＣ２へ供給する。電源監視装置ＶＭ４は、電源監視装置ＶＭ２と同様に、電圧変換回路ＤＢ１及び比較回路ＣＢ１を有している。したがって、電源監視装置ＶＭ４は、電源監視装置ＶＭ２と同様に、出力信号ＯＢ１を半導体装置ＳＣ１へ供給する。そのため、同一の符号を付し、説明は省略する。

つまり、電源監視装置ＶＭ３は、電源監視装置ＶＭ１と比較して、電圧変換回路ＤＡ２及び比較回路ＣＡ２を有していないため、電源監視装置ＶＭ３の大きさは、電源監視装置ＶＭ１の大きさより小さい。同様に、電源監視装置ＶＭ４は、電源監視装置ＶＭ２と比較して、電圧変換回路ＤＢ２及び比較回路ＣＢ２を有していないため、電源監視装置ＶＭ４の大きさは、電源監視装置ＶＭ２の大きさより小さい。

図８は、実施の形態２に係る電源監視装置ＶＭ３及びＶＭ４の出力結果例を説明する図である。図８に、電源監視装置ＶＭ３及びＶＭ４の出力結果（電圧監視結果）として、図４と同様に、出力信号ＯＡ１及びＯＢ１の電位レベルが記載されている。図８に示す「Ｈ」とは、Ｈｉｇｈレベルの電位を示し、「Ｌ」とは、Ｌｏｗレベルの電位を示している。

図８に示すように、図４と同様に、機能安全システム１の正常の動作電圧範囲は、例えば、３．５〔Ｖ〕～３．１〔Ｖ〕である。また、上述したように、電源監視装置ＶＭ３から供給される出力信号ＯＡ１と、電源監視装置ＶＭ１から供給される出力信号ＯＡ１とは、同じであるため、図８の出力信号ＯＡ１の値は、図４の出力信号ＯＡ１の値と同じある。また、上述したように、電源監視装置ＶＭ４から供給される出力信号ＯＢ１と、電源監視装置ＶＭ２から供給される出力信号ＯＢ１とは、同じであるため、図８の出力信号ＯＢ１の値は、図４の出力信号ＯＢ１の値と同じある。そのため、詳細な説明は省略する。

図９は、実施の形態２に係る電源監視装置ＶＭ３及びＶＭ４の動作について説明する図である。図９には、電源監視装置ＶＭ３及びＶＭ４の動作として、ケース３及びケース４を例示している。また、図９に示す「Ｈ」とは、Ｈｉｇｈレベルの電位を示し、「Ｌ」とは、Ｌｏｗレベルの電位を示している。さらに、期待値Ｅ１及びＥ３は、上述で説明した値が設定されている。

図９において、時刻Ｔ１１は、図４の時刻Ｔ１に対応しており、時刻Ｔ１２は、図４の時刻Ｔ２に対応しており、時刻Ｔ１３は、図４の時刻Ｔ３に対応している。また、図９において、図４と同様に、相互通信のタイミングと、切替信号ＶＣ１又はＶＣ２の電位レベルが変わるタイミングは、同じである。

ケース３は、図５のケース１に対応している。そのため、電源電圧ＶＤＤ１又はＶＤＤ２の値が、機能安全システム２の正常の動作電圧範囲内である場合の例である。そのため、ケース３における電源監視装置ＶＭ３の電圧変換回路ＤＡ１及び比較回路ＣＡ１の動作は、ケース１における電源監視装置ＶＭ１の電圧変換回路ＤＡ１及び比較回路ＣＡ１の動作と同様である。そのため、詳細な説明は省略するが、ケース３の場合の電源監視装置ＶＭ３と半導体装置ＳＣ２の動作について、以下に説明する。

ケース３の時刻Ｔ１１において、電圧変換回路ＤＡ１が、Ｌｏｗレベルの切替信号ＶＣ１に基づいて、電源電圧ＶＤＤ１から検出電圧ＶＮＡ１を生成する。比較回路ＣＡ１は、検出電圧ＶＮＡ１と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｌｏｗレベルの出力信号ＯＡ１を、電圧監視結果として、半導体装置ＳＣ２へ出力する。時刻Ｔ１１において、半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２に基づいて、電圧監視結果（Ｌｏｗレベルの出力信号ＯＡ１）と期待値Ｅ３Ｌとを比較する。電圧監視結果（Ｌｏｗレベルの出力信号ＯＡ１）は、期待値Ｅ３Ｌと同じであるため、ケース１と同様に、モータＭＴは回転し続ける。

切替信号ＶＣ１がＬｏｗレベルの間（時刻Ｔ１１から時刻Ｔ１２までの間）に、電源監視装置ＶＭ３は、上述で説明したように、電源電圧ＶＤＤ１が機能安全システム２の正常の動作電圧範囲の上限電圧より低いかを監視することが出来る。しかしながら、電源監視装置ＶＭ３は、電源監視装置ＶＭ１と異なり、電圧変換回路ＤＡ２及び比較回路ＣＡ２を有していない。そのため、切替信号ＶＣ１がＬｏｗレベルの間（時刻Ｔ１１から時刻Ｔ１２までの間）に、電源監視装置ＶＭ３は、電源電圧ＶＤＤ１が機能安全システム２の正常の動作電圧範囲の下限電圧より高いかを監視することが出来ない。

時刻Ｔ１２において、電圧変換回路ＤＡ１が、Ｈｉｇｈレベルの切替信号ＶＣ１に基づいて、電源電圧ＶＤＤ１から検出電圧ＶＮＡ２を生成する。比較回路ＣＡ１は、検出電圧ＶＮＡ２と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＡ１を、電圧監視結果として、半導体装置ＳＣ２へ出力する。時刻Ｔ１２において、半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２に基づいて、電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ１）と期待値Ｅ３Ｈとを比較する。電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ１）は、期待値Ｅ３Ｈと同じであるため、ケース１と同様に、モータＭＴは回転し続ける。

切替信号ＶＣ１がＨｉｇｈレベルの間（時刻Ｔ１２から時刻Ｔ１３までの間）で、電源監視装置ＶＭ３は、電源電圧ＶＤＤ１が機能安全システム２の正常の動作電圧範囲の下限電圧より高いかを監視することが出来る。一方、電源監視装置ＶＭ３は、電源監視装置ＶＭ１と異なり、電圧変換回路ＤＡ２及び比較回路ＣＡ２を有していない。そのため、切替信号ＶＣ１がＨｉｇｈレベルの間に、電源監視装置ＶＭ３は、電源電圧ＶＤＤ１が機能安全システム２の正常の動作電圧範囲の上限電圧より低いかを監視することが出来ない。

したがって、切替信号ＶＣ１が、Ｌｏｗレベル及びＨｉｇｈレベルである両方の期間を通して、電源監視装置ＶＭ３は、電源電圧ＶＤＤ１が機能安全システム２の正常の動作電圧範囲内にあるかどうかを監視する。

つまり、切替信号ＶＣ１が、Ｌｏｗレベル及びＨｉｇｈレベルである両方の期間を通して、半導体装置ＳＣ２は、電源装置ＶＳ１、電源配線ＶＷ１、及び電源監視装置ＶＭ１に対して、故障しているかどうかを判断する。具体的には、半導体装置ＳＣ２は、切替信号ＶＣ１がＬｏｗレベルである場合の出力信号ＯＡ１と、期待値Ｅ３Ｌとを比較し、更に、切替信号ＶＣ１がＨｉｇｈレベルである場合の出力信号ＯＡ１と、期待値Ｅ３Ｈとを比較する。その結果、半導体装置ＳＣ２は、切替信号ＶＣ１がＬｏｗレベルである場合の出力信号ＯＡ１と、期待値Ｅ３Ｌとが異なる場合、又は切替信号ＶＣ１がＨｉｇｈレベルである場合の出力信号ＯＡ１と、期待値Ｅ３Ｈとが異なる場合に、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）を遮断回路ＩＮ２へ供給する。それによって、遮断回路ＩＮ２は、駆動信号ＤＳを遮断し、モータＭＴの駆動動作が停止する。その結果、高信頼の機能安全システム２を提供することが出来る。

また、時刻Ｔ１１及びＴ１２を通して、電源監視装置ＶＭ３は、切替信号ＶＣ１の電位レベルの反転に応じて、出力信号ＯＡ１の電位レベルを反転させるため、半導体装置ＳＣ２は、電源監視装置ＶＭ３自体も正常に動作しているかどうかを判断することが出来る。それによって、より高信頼の機能安全システム２を提供することが出来る。さらに、電源監視装置ＶＭ３の大きさは、電源監視装置ＶＭ１の大きさより小さいため、機能安全システム２の小型化を提供することが出来る。

ケース３における電源監視装置ＶＭ４の電圧変換回路ＤＢ１及び比較回路ＣＢ１の動作は、ケース１における電源監視装置ＶＭ２の電圧変換回路ＤＢ１及び比較回路ＣＢ１の動作と同様である。そのため、詳細な説明は省略するが、ケース３の場合の電源監視装置ＶＭ４と半導体装置ＳＣ１の動作について、以下に説明する。

ケース３の時刻Ｔ１１において、電圧変換回路ＤＢ１が、Ｌｏｗレベルの切替信号ＶＣ２に基づいて、電源電圧ＶＤＤ２から検出電圧ＶＮＢ１を生成する。比較回路ＣＢ１は、検出電圧ＶＮＢ１と基準電圧ＶｒｅＢと比較し、その比較結果に応じて、Ｌｏｗレベルの出力信号ＯＢ１を、電圧監視結果として、半導体装置ＳＣ１へ出力する。時刻Ｔ１１において、半導体装置ＳＣ１は、安全制御ソフトウェアＳＷ１に基づいて、電圧監視結果（Ｌｏｗレベルの出力信号ＯＢ１）と期待値Ｅ１Ｌとを比較する。電圧監視結果（Ｌｏｗレベルの出力信号ＯＢ１）は、期待値Ｅ１Ｌと同じであるため、ケース１と同様に、モータＭＴは回転し続ける。ケース３において、切替信号ＶＣ２がＬｏｗレベルの間（時刻Ｔ１１から時刻Ｔ１２までの間）、電源監視装置ＶＭ４は、電源電圧ＶＤＤ２が機能安全システム２の正常の動作電圧範囲の上限電圧より低いかを監視することが出来る。しかしながら、電源監視装置ＶＭ４は、電源監視装置ＶＭ２と異なり、電圧変換回路ＤＢ２及び比較回路ＣＢ２を有していない。そのため、切替信号ＶＣ２がＬｏｗレベルの間に、電源監視装置ＶＭ４は、電源電圧ＶＤＤ２が機能安全システム２の正常の動作電圧範囲の下限電圧より高いかを監視することが出来ない。

時刻Ｔ１２において、電圧変換回路ＤＢ１が、Ｈｉｇｈレベルの切替信号ＶＣ２に基づいて、電源電圧ＶＤＤ２から検出電圧ＶＮＢ２を生成する。比較回路ＣＢ１は、検出電圧ＶＮＢ２と基準電圧ＶｒｅＢと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＢ１を、電圧監視結果として、半導体装置ＳＣ１へ出力する。時刻Ｔ１２において、半導体装置ＳＣ１は、安全制御ソフトウェアＳＷ１に基づいて、電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＢ１）と期待値Ｅ１Ｈとを比較する。電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＢ１）は、期待値Ｅ１Ｈと同じであるため、ケース１と同様に、モータＭＴは回転し続ける。ケース３において、切替信号ＶＣ２がＨｉｇｈレベルの間（時刻Ｔ１２から時刻Ｔ１３までの間）で、電源監視装置ＶＭ４は、電源電圧ＶＤＤ２が機能安全システム２の正常の動作電圧範囲の下限電圧より高いかを監視することが出来る。一方、電源監視装置ＶＭ４は、電源監視装置ＶＭ２と異なり、電圧変換回路ＤＢ２及び比較回路ＣＢ２を有していない。そのため、切替信号ＶＣ２がＨｉｇｈレベルの間に、電源監視装置ＶＭ４は、電源電圧ＶＤＤ２が機能安全システム２の正常の動作電圧範囲の上限電圧より低いかを監視することが出来ない。

したがって、切替信号ＶＣ２が、Ｌｏｗレベル及びＨｉｇｈレベルである両方の期間を通して、電源監視装置ＶＭ４は、電源電圧ＶＤＤ２が機能安全システム２の正常の動作電圧範囲内にあるかどうかを監視する。

つまり、切替信号ＶＣ２が、Ｌｏｗレベル及びＨｉｇｈレベルである両方の期間を通して、半導体装置ＳＣ１は、電源装置ＶＳ２、電源配線ＶＷ２、及び電源監視装置ＶＭ２に対して、故障しているかどうかを判断する。具体的には、半導体装置ＳＣ１は、切替信号ＶＣ２がＬｏｗレベルである場合の出力信号ＯＢ１と、期待値Ｅ１Ｌとを比較し、更に、切替信号ＶＣ２がＨｉｇｈレベルである場合の出力信号ＯＢ１と、期待値Ｅ１Ｈとを比較する。その結果、半導体装置ＳＣ１は、切替信号ＶＣ２がＬｏｗレベルである場合の出力信号ＯＢ１と、期待値Ｅ１Ｌとが異なる場合、又は切替信号ＶＣ２がＨｉｇｈレベルである場合の出力信号ＯＢ１と、期待値Ｅ１Ｈとが異なる場合に、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）を遮断回路ＩＮ１へ供給する。それらによって、遮断回路ＩＮ１は、駆動信号ＤＳを遮断し、モータＭＴの駆動動作が停止する。その結果、高信頼の機能安全システム１を提供することが出来る。

また、時刻Ｔ１１及びＴ１２を通して、電源監視装置ＶＭ４は、切替信号ＶＣ２の電位レベルの反転に応じて、出力信号ＯＢ１の電位レベルを反転させるため、半導体装置ＳＣ１は、電源監視装置ＶＭ４自体も正常に動作しているかどうかを判断することが出来る。それによって、より高信頼の機能安全システム２を提供することが出来る。さらに、電源監視装置ＶＭ４の大きさは、電源監視装置ＶＭ２の大きさより小さいため、機能安全システム２の小型化を提供することが出来る。

ケース４は、図５のケース２に対応している。そのため、電源電圧ＶＤＤ１又はＶＤＤ２が、機能安全システム２の正常の動作電圧範囲より高い場合の例である。そのため、ケース４における電源監視装置ＶＭ３の電圧変換回路ＤＡ１及び比較回路ＣＡ１の動作は、ケース２における電源監視装置ＶＭ１の電圧変換回路ＤＡ１及び比較回路ＣＡ１の動作と同様である。そのため、詳細な説明は省略するが、ケース４の場合の電源監視装置ＶＭ３と半導体装置ＳＣ２の動作について、以下に説明する。

ケース４の時刻Ｔ１１において、電圧変換回路ＤＡ１が、Ｌｏｗレベルの切替信号ＶＣ１に基づいて、電源電圧ＶＤＤ１から検出電圧ＶＮＡ１を生成する。比較回路ＣＡ１は、検出電圧ＶＮＡ１と基準電圧ＶｒｅＡと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＡ１を、電圧監視結果として、半導体装置ＳＣ２へ出力する。時刻Ｔ１１において、半導体装置ＳＣ２は、安全制御ソフトウェアＳＷ２に基づいて、電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ１）と期待値Ｅ３Ｌとを比較する。電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＡ１）は、期待値Ｅ３Ｌと異なるため、半導体装置ＳＣ２は、ケース２と同様に、制御信号ＣＳ２（例えば、Ｌｏｗレベルの制御信号ＣＳ２）を、遮断回路ＩＮ２へ供給する。遮断回路ＩＮ２は、Ｌｏｗレベルの制御信号ＣＳ２に基づいて、駆動信号ＤＳを遮断する。その結果、モータＭＴの回転動作が停止する。

つまり、時刻Ｔ１１において、半導体装置ＳＣ２は、電源電圧ＶＤＤ１の値が、機能安全システム２の動作電圧範囲外であると判断する。言い換えれば、半導体装置ＳＣ２は、電源装置ＶＳ１又は電源配線ＶＷ１等が故障していると判断する。そのため、遮断回路ＩＮ２は、Ｌｏｗレベル制御信号ＣＳ２に基づいて、半導体装置ＳＣ３から供給される駆動信号ＤＳを遮断する。その結果、モータＭＴの回転動作が停止する。これにより、機能安全システム２の安全性を確保することが出来る。

ケース４における電源監視装置ＶＭ４の電圧変換回路ＤＢ１及び比較回路ＣＢ１の動作は、ケース２における電源監視装置ＶＭ２の電圧変換回路ＤＢ１及び比較回路ＣＢ１の動作と同様である。そのため、詳細な説明は省略するが、ケース４の場合の電源監視装置ＶＭ４と半導体装置ＳＣ１の動作について、以下に説明する。

ケース４の時刻Ｔ１１において、電圧変換回路ＤＢ１が、Ｌｏｗレベルの切替信号ＶＣ２に基づいて、電源電圧ＶＤＤ２から検出電圧ＶＮＢ１を生成する。比較回路ＣＢ１は、検出電圧ＶＮＢ１と基準電圧ＶｒｅＢと比較し、その比較結果に応じて、Ｈｉｇｈレベルの出力信号ＯＢ１を、電圧監視結果として、半導体装置ＳＣ１へ出力する。時刻Ｔ１１において、半導体装置ＳＣ１は、安全制御ソフトウェアＳＷ１に基づいて、電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＢ１）と期待値Ｅ１Ｌとを比較する。電圧監視結果（Ｈｉｇｈレベルの出力信号ＯＢ１）は、期待値Ｅ１Ｌと異なるため、半導体装置ＳＣ１は、ケース２と同様に、制御信号ＣＳ１（例えば、Ｌｏｗレベルの制御信号ＣＳ１）を、遮断回路ＩＮ１へ供給する。遮断回路ＩＮ１は、Ｌｏｗレベルの制御信号ＣＳ１に基づいて、半導体装置ＳＣ３から供給される駆動信号ＤＳを遮断する。その結果、モータＭＴの回転動作が停止する。

つまり、時刻Ｔ１１において、半導体装置ＳＣ１は、電源電圧ＶＤＤ２の値が、機能安全システム２の動作電圧範囲外であると判断する。言い換えれば、切替信号ＶＣ１がＬｏｗレベルの間で、半導体装置ＳＣ１は、電源装置ＶＳ２又は電源配線ＶＷ２が故障していると判断する。そのため、遮断回路ＩＮ１は、Ｌｏｗレベル制御信号ＣＳ１に基づいて、半導体装置ＳＣ３から供給される駆動信号ＤＳを遮断する。その結果、モータＭＴの回転動作が停止する。これにより、機能安全システム２の安全性を確保することが出来る。

また、図９には、図示していないが、電源装置ＶＳ１又はＶＳ２、電源配線ＶＷ１又はＶＷ２等の故障により、電源電圧ＶＤＤ１又はＶＤＤ２が、機能安全システム２の正常の動作電圧範囲より低い場合もある。その場合においても、モータＭＴの回転動作を停止させ、機能安全システム２の安全性を確保することが出来る。図８に示すように、切替信号ＶＣ１がＨｉｇｈレベルの場合、出力信号ＯＡ１は、Ｌｏｗレベルであるため、上述のように半導体装置ＳＣ２は、駆動信号ＤＳを遮断させる。一方、切替信号ＶＣ２がＨｉｇｈレベルの場合、出力信号ＯＢ１は、Ｌｏｗレベルであるため、上述のように半導体装置ＳＣ１は、駆動信号ＤＳを遮断させる。

また、機能安全システム２として、ケース３の場合の出力信号ＯＡ１と、ケース４の場合の出力信号ＯＢ１とを組み合わせケースもある。その場合は、上述したように、半導体装置ＳＣ２は、通常の動作を実施するが、半導体装置ＳＣ１は、遮断回路ＩＮ１を制御して、駆動信号ＤＳの供給を遮断する。その結果、モータＭＴの回転動作が停止する。そのため、機能安全システム１は、半導体装置ＳＣ１及びＳＣ２を使用して２重化の機能安全システムを構成することが出来る。

１、２ 機能安全システム
１０Ａ、１０Ｂ 演算部
１１Ａ、１１Ｂ バス
１２Ａ、１２Ｂ ＲＯＭ
１３Ａ、１３Ｂ ＲＡＭ
１４Ａ、１４Ｂ タイマ
１５Ａ、１５Ｂ 通信インターフェイス
ＣＡ１、ＣＡ２、ＣＢ１、ＣＢ２ 比較回路
ＩＮ１、ＩＮ２ 遮断回路
ＭＴ モータ
ＮＡ１、ＮＡ２、ＮＢ１、ＮＢ２ 電圧ノード
ＲＡ１、ＲＡ２、ＲＡ３、ＲＡ４、ＲＡ５、ＲＡ６、ＲＢ１、ＲＢ２、ＲＢ３、ＲＢ４、ＲＢ５、ＲＢ６ 抵抗
ＳＡ１、ＳＡ２、ＳＢ１、ＳＢ２ スイッチ
ＳＣ１、ＳＣ２、ＳＣ３ 半導体装置
ＳＥ 角度センサ
ＳＷ１、ＳＷ２ 安全制御ソフトウェア
ＶＭ１、ＶＭ２、ＶＭ３、ＶＭ４ 電源監視装置
ＶＳ１、ＶＳ１、ＶＳ３ 電源装置
ＶＷ１、ＶＷ２、ＶＷ３ 電源配線

Claims (20)

1. 外部電源に基づいて第１の電源電圧を生成する第１の電源装置と、
   前記第１の電源電圧を受け取り、かつ前記第１の電源電圧を監視する第１の電源監視装置と、
   前記第１の電源電圧を受け取り、かつ前記第１の電源電圧に基づいて動作する第１の半導体装置と、
   前記外部電源に基づいて第２の電源電圧を生成する第２の電源装置と、
   前記第２の電源電圧を受け取り、かつ前記第２の電源電圧を監視する第２の電源監視装置と、
   前記第２の電源電圧を受け取り、かつ前記第２の電源電圧に基づいて動作する第２の半導体装置と、
   前記第１の半導体装置によって制御される第１の遮断回路と
   前記第２の半導体装置によって制御される第２の遮断回路と、
   前記第１の遮断回路及び前記第２の遮断回路を介して駆動信号を受け取り、前記駆動信号に基づいて動作するモータと、
   を備え、
   前記第１の電源監視装置は、第１の電圧変換回路と、第２の電圧変換回路と、第１の比較回路と、及び第２の比較回路とを有し、
   前記第２の半導体装置は、第１の期待値と、第２の期待値とを有し、
   前記第１の電圧変換回路は、前記第２の半導体装置から供給される第１の切替信号に基づいて、前記第１の電源電圧から第１の検出電圧を生成し、前記第１の検出電圧を前記第１の比較回路へ供給し、
   前記第２の電圧変換回路は、前記第１の切替信号に基づいて、前記第１の電源電圧から第２の検出電圧を生成し、前記第２の検出電圧を前記第２の比較回路へ供給し、
   前記第１の比較回路は、前記第１の検出電圧と第１の基準電圧とを比較し、比較結果に応じて、第１の電圧監視結果を前記第２の半導体装置へ供給し、
   前記第２の比較回路は、前記第２の検出電圧と前記第１の基準電圧とを比較し、比較結果に応じて、第２の電圧監視結果を前記第２の半導体装置へ供給し、
   前記第２の半導体装置は、前記第１の電圧監視結果と前記第１の期待値とが異なる場合、又は前記第２の電圧監視結果と前記第２の期待値とが異なる場合に、前記第２の遮断回路を制御し、前記モータへ供給される前記駆動信号を遮断する、機能安全システム。
2. 前記第２の電源監視装置は、第３の電圧変換回路と、第４の電圧変換回路と、第３の比較回路と、及び第４の比較回路とを有し、
   前記第１の半導体装置は、第３の期待値と、第４の期待値とを有し、
   前記第３の電圧変換回路は、前記第１の半導体装置から供給される第２の切替信号に基づいて、前記第２の電源電圧から第３の検出電圧を生成し、前記第３の検出電圧を前記第３の比較回路へ供給し、
   前記第４の電圧変換回路は、前記第２の切替信号に基づいて、前記第２の電源電圧から第４の検出電圧を生成し、前記第４の検出電圧を前記第４の比較回路へ供給し、
   前記第３の比較回路は、前記第３の検出電圧と第２の基準電圧とを比較し、比較結果に応じて、第３の電圧監視結果を前記第１の半導体装置へ供給し、
   前記第４の比較回路は、前記第４の検出電圧と前記第２の基準電圧とを比較し、比較結果に応じて、第４の電圧監視結果を前記第１の半導体装置へ供給し、
   前記第１の半導体装置は、前記第３の電圧監視結果と前記第３の期待値とが異なる場合、又は前記第４の電圧監視結果と前記第４の期待値とが異なる場合に、前記第１の遮断回路を制御し、前記モータへ供給される前記駆動信号を遮断する、請求項１に記載の機能安全システム。
3. 前記第１の期待値は、第１の値と、第２の値とを含み、
   前記第２の期待値は、第３の値と、第４の値とを含み、
   前記第１の検出電圧は、第１の分圧電圧と、第２の分圧電圧とを含み、
   前記第２の検出電圧は、第３の分圧電圧と、第４の分圧電圧とを含み、
   前記第１の電圧監視結果は、第１の結果値と、第２の結果値とを含み、
   前記第２の電圧監視結果は、第３の結果値と、第４の結果値とを含み、
   前記第１の切替信号がＬｏｗレベルである場合に、前記第１の電圧変換回路は、前記第１の検出電圧として、前記第１の分圧電圧を、前記第１の比較回路へ供給し、
   前記第１の切替信号がＨｉｇｈレベルである場合に、前記第１の電圧変換回路は、前記第１の検出電圧として、前記第２の分圧電圧を、前記第１の比較回路へ供給し、
   前記第１の切替信号がＬｏｗレベルである場合に、前記第２の電圧変換回路は、前記第２の検出電圧として、前記第３の分圧電圧を、前記第２の比較回路へ供給し、
   前記第１の切替信号がＨｉｇｈレベルである場合に、前記第２の電圧変換回路は、前記第２の検出電圧として、前記第４の分圧電圧を、前記第２の比較回路へ供給し、
   前記第１の切替信号がＬｏｗレベルである場合に、前記第１の比較回路は、前記第１の分圧電圧と前記第１の基準電圧とを比較し、前記第１の電圧監視結果として、前記第１の結果値を前記第２の半導体装置へ供給し、
   前記第１の切替信号がＨｉｇｈレベルである場合に、前記第１の比較回路は、前記第２の検出電圧と前記第１の基準電圧を比較し、前記第１の電圧監視結果として、前記第２の結果値を前記第２の半導体装置へ供給し、
   前記第１の切替信号がＬｏｗレベルである場合に、前記第２の比較回路は、前記第３の検出電圧と前記第１の基準電圧とを比較し、前記第２の電圧監視結果として、前記第３の結果値を前記第２の半導体装置へ供給し、
   前記第１の切替信号がＨｉｇｈレベルである場合に、前記第２の比較回路は、前記第４の検出電圧と前記第１の基準電圧とを比較し、前記第２の電圧監視結果として、前記第４の結果値を前記第２の半導体装置へ供給し、
   前記第２の半導体装置は、前記第１の結果値と前記第１の値とが異なる場合、又は前記第３の結果値と前記第３の値とが異なる場合に、前記第２の遮断回路を制御し、前記モータへ供給される前記駆動信号を遮断し、
   前記第２の半導体装置は、前記第２の結果値と前記第２の値とが異なる場合、又は前記第４の結果値と前記第４の値とが異なる場合に、前記第２の遮断回路を制御し、前記モータへ供給される前記駆動信号を遮断する、請求項２に記載の機能安全システム。
4. 前記第１の切替信号は、定期的に前記Ｈｉｇｈレベル及び前記Ｌｏｗレベルになる、請求項３に記載の機能安全システム。
5. 前記第１の分圧電圧の値は、前記第２の分圧電圧の値とは異なり、
   前記第３の分圧電圧の値は、前記第４の分圧電圧の値とは異なり、
   前記第１の分圧電圧の値は、前記第３の分圧電圧の値とは異なり、
   前記第２の分圧電圧の値は、前記第４の分圧電圧の値とは異なる、請求項３に記載の機能安全システム。
6. 前記機能安全システムは、前記外部電源に基づいて第３の電源電圧を生成する第３の電源装置と、
   前記第３の電源電圧を受け取り、かつ前記第３の電源電圧に基づいて動作する第３の半導体装置と、
   を更に備え、
   前記第３の半導体装置は、前記駆動信号を、前記第１及び第２の遮断回路を介して前記モータへ供給する、請求項３に記載の機能安全システム。
7. 前記第１の半導体装置と前記第２の半導体装置は、定期的に相互通信を実施し、互いの動作を監視する、請求項３に記載の機能安全システム。
8. 前記相互通信を実施するタイミングと、前記第１の切替信号の電位レベルを変化させるタイミングとは同じである、請求項７に記載の機能安全システム。
9. 前記第１の電圧変換回路は、
   前記第１の電源電圧が供給される電圧ノードに接続される第１の抵抗と、
   前記第１の抵抗と並列に、前記電圧ノードに接続され、かつ前記電圧ノードと第１の検出電圧ノードとの間に配置された第２の抵抗と、
   前記第１の検出電圧ノードを介して、前記第２の抵抗と直列に接続され、かつ前記第１の検出電圧ノードと接地電圧ノードとの間に配置された第３の抵抗と、
   前記第１の検出電圧ノードと前記第１の抵抗の間に配置された第１のスイッチと、
   を有し、
   前記第２の電圧変換回路は、
   前記電圧ノードに接続され、かつ前記電圧ノードと第２の検出電圧ノードとの間に配置された第４の抵抗と、
   前記第２の検出電圧ノードを介して、前記第４の抵抗と直列に接続され、かつ前記第２の検出電圧ノードと前記接地電圧ノードとの間に配置された第５の抵抗と、
   前記第５の抵抗と並列に、前記接地電圧ノードにされた第６の抵抗と、
   前記第２の検出電圧ノードと前記第６の抵抗の間に配置された第２のスイッチと、
   を有し、
   前記第１の比較回路は、前記第１の検出電圧ノードに接続され、
   前記第２の比較回路は、前記第２の検出電圧ノードに接続され、
   前記第１及び第２のスイッチは、前記第１の切替信号に従って、ＯＮ状態又はＯＦＦ状態に設定される、請求項３に記載の機能安全システム。
10. 外部電源に基づいて第１の電源電圧を生成し、前記第１の電源電圧を第１の電源配線へ供給する第１の電源装置と、
    前記第１の電源配線に接続され、かつ前記第１の電源配線の電位を監視する第１の電源監視装置と、
    前記第１の電源配線に接続され、かつ前記第１の電源電圧に基づいて動作する第１の半導体装置と、
    前記外部電源に基づいて第２の電源電圧を生成し、前記第２の電源電圧を第２の電源配線へ供給する第２の電源装置と、
    前記第２の電源配線に接続され、かつ前記第２の電源配線の電位を監視する第２の電源監視装置と、
    前記第２の電源配線に接続され、かつ前記第２の電源電圧に基づいて動作する第２の半導体装置と、
    前記第１の半導体装置によって制御される第１の遮断回路と
    前記第２の半導体装置によって制御される第２の遮断回路と、
    前記第１の遮断回路及び前記第２の遮断回路を介して駆動信号を受け取り、前記駆動信号に基づいて動作するモータと、
    を備え、
    前記第１の電源監視装置は、第１の電圧変換回路と、第２の電圧変換回路と、第１の比較回路と、及び第２の比較回路とを有し、
    前記第２の半導体装置は、第１の期待値と、第２の期待値とを有し、
    前記第１の電圧変換回路は、前記第２の半導体装置から供給される第１の切替信号に基づいて、前記第１の電源電圧から第１の検出電圧を生成し、前記第１の検出電圧を前記第１の比較回路へ供給し、
    前記第２の電圧変換回路は、前記第１の切替信号に基づいて、前記第１の電源電圧から第２の検出電圧を生成し、前記第２の検出電圧を前記第２の比較回路へ供給し、
    前記第１の比較回路は、前記第１の検出電圧と第１の基準電圧とを比較し、比較結果に応じて、第１の電圧監視結果を前記第２の半導体装置へ供給し、
    前記第２の比較回路は、前記第２の検出電圧と前記第１の基準電圧とを比較し、比較結果に応じて、第２の電圧監視結果を前記第２の半導体装置へ供給し、
    前記第２の半導体装置は、前記第１の電圧監視結果と前記第１の期待値とが異なる場合、又は前記第２の電圧監視結果と前記第２の期待値とが異なる場合に、前記第２の遮断回路を制御し、前記モータへ供給される前記駆動信号を遮断する、機能安全システム。
11. 前記第１の検出電圧は、前記第１の切替信号の電位レベルに基づいて、変化し、
    前記第２の検出電圧は、前記第１の切替信号の電位レベルに基づいて、変化する、請求項１０に記載の機能安全システム。
12. 前記第１の電圧変換回路は、
    前記第１の電源配線に接続される第１の抵抗と、
    前記第１の抵抗と並列に、前記第１の電源配線に接続され、かつ前記第１の電源配線と第１の検出電圧ノードとの間に配置された第２の抵抗と、
    前記第１の検出電圧ノードを介して、前記第２の抵抗と直列に接続され、かつ前記第１の検出電圧ノードと接地電圧ノードとの間に配置された第３の抵抗と、
    前記第１の検出電圧ノードと前記第１の抵抗の間に配置された第１のスイッチと、
    を有し、
    前記第２の電圧変換回路は、
    前記第１の電源配線に接続され、かつ前記第１の電源配線と第２の検出電圧ノードとの間に配置された第４の抵抗と、
    前記第２の検出電圧ノードを介して、前記第４の抵抗と直列に接続され、かつ前記第２の検出電圧ノードと前記接地電圧ノードとの間に配置された第５の抵抗と
    前記第５の抵抗と並列に、前記接地電圧ノードにされた第６の抵抗と、
    前記第２の検出電圧ノードと前記第６の抵抗の間に配置された第２のスイッチと、
    を有し、
    前記第１の比較回路は、前記第１の検出電圧ノードに接続され、
    前記第２の比較回路は、前記第２の検出電圧ノードに接続され、
    前記第１及び第２のスイッチは、前記第１の切替信号に従って、ＯＮ状態又はＯＦＦ状態に設定される、請求項１１に記載の機能安全システム。
13. 前記第２の電源監視装置は、第３の電圧変換回路と、第４の電圧変換回路と、第３の比較回路と、及び第４の比較回路とを有し、
    前記第１の半導体装置は、第３の期待値と、第４の期待値とを有し、
    前記第３の電圧変換回路は、前記第１の半導体装置から供給される第２の切替信号に基づいて、前記第２の電源電圧から第３の検出電圧を生成し、前記第３の検出電圧を前記第３の比較回路へ供給し、
    前記第４の電圧変換回路は、前記第２の切替信号に基づいて、前記第２の電源電圧から第４の検出電圧を生成し、前記第４の検出電圧を前記第４の比較回路へ供給し、
    前記第３の比較回路は、前記第３の検出電圧と第２の基準電圧とを比較し、比較結果に応じて、第３の電圧監視結果を前記第１の半導体装置へ供給し、
    前記第４の比較回路は、前記第４の検出電圧と前記第２の基準電圧とを比較し、比較結果に応じて、第４の電圧監視結果を前記第１の半導体装置へ供給し、
    前記第１の半導体装置は、前記第３の電圧監視結果と前記第３の期待値とが異なる場合、又は前記第４の電圧監視結果と前記第４の期待値とが異なる場合に、前記第１の遮断回路を制御し、前記モータへ供給される前記駆動信号を遮断する、請求項１１に記載の機能安全システム。
14. 前記第３の検出電圧は、前記第２の切替信号の電位レベルに基づいて、変化し、
    前記第４の検出電圧は、前記第２の切替信号の電位レベルに基づいて、変化する、請求項１３に記載の機能安全システム。
15. 外部電源に基づいて第１の電源電圧を生成する第１の電源装置と、
    前記第１の電源電圧を受け取り、かつ前記第１の電源電圧を監視する電源監視装置と、
    前記第１の電源電圧を受け取り、かつ前記第１の電源電圧に基づいて動作する第１の半導体装置と、
    前記外部電源に基づいて第２の電源電圧を生成する第２の電源装置と、
    前記第２の電源電圧を受け取り、かつ前記第２の電源電圧に基づいて動作する第２の半導体装置と、
    前記第２の半導体装置によって制御される遮断回路と、
    前記遮断回路を介して駆動信号を受け取り、前記駆動信号に基づいて動作するモータと、
    を備え、
    前記電源監視装置は、電圧変換回路及び比較回路を有し、
    前記第２の半導体装置は、期待値として、第１の値と第２の値を有し、
    前記電圧変換回路は、前記第２の半導体装置から供給されるＬｏｗレベルの切替信号に基づいて、前記第１の電源電圧から第１の分圧電圧を生成し、前記第１の分圧電圧を前記比較回路へ供給し、
    前記電圧変換回路は、Ｈｉｇｈレベルの前記切替信号に基づいて、前記第１の電源電圧から第２の分圧電圧を生成し、前記第２の分圧電圧を前記比較回路へ供給し、
    前記比較回路は、前記第１の分圧電圧と基準電圧とを比較し、比較結果に基づいて、第１の結果値を前記第２の半導体装置へ供給し、
    前記比較回路は、前記第１の分圧電圧と前記基準電圧とを比較し、比較結果に基づいて、第２の結果値を前記第２の半導体装置へ供給し、
    前記第２の半導体装置は、前記第１の結果値と前記第１の値とが異なる場合、又は前記第２の結果値と前記第２の値とが異なる場合に、前記遮断回路を制御し、前記モータへ供給される前記駆動信号を遮断する、機能安全システム。
16. 前記第１の分圧電圧は、前記第２の分圧電圧とは、異なる値である、請求項１５に記載の機能安全システム。
17. 前記切替信号がＬｏｗレベルの時に、前記比較回路は、前記第１の結果値を前記第２の半導体装置へ供給し、
    前記切替信号がＨｉｇｈレベルの時に、前記比較回路は、前記第２の結果値を前記第２の半導体装置へ供給し、
    前記切替信号がＬｏｗレベルの時に、前記第２の半導体装置は、前記第１の結果値と前記第１の値とを比較し、
    前記切替信号がＨｉｇｈレベルの時に、前記第２の半導体装置は、前記第２の結果値と前記第２の値とを比較する、請求項１５に記載の機能安全システム。
18. 前記電圧変換回路は、
    前記第１の電源電圧が供給される電圧ノードに接続される第１の抵抗と、
    前記第１の抵抗と並列に、前記電圧ノードに接続され、かつ前記電圧ノードと検出電圧ノードとの間に配置された第２の抵抗と、
    前記検出電圧ノードを介して、前記第２の抵抗と直列に接続され、かつ前記検出電圧ノードと接地電圧ノードとの間に配置された第３の抵抗と、
    前記検出電圧ノードと前記第１の抵抗の間に配置されたスイッチと、
    を有し、
    前記スイッチは、前記切替信号に従って、ＯＮ状態又はＯＦＦ状態に設定される、請求項１７に記載の機能安全システム。
19. 前記第１の半導体装置と前記第２の半導体装置は、定期的に相互通信を実施し、互いの動作を監視する、請求項１８に記載の機能安全システム。
20. 前記相互通信を実施するタイミングと、前記切替信号の電位レベルを変化させるタイミングとは同じである、請求項１９に記載の機能安全システム。

Images